Fassung 1.0.5

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Anleitung fuer den Betrieb auf Proxmox
2026-10-05 06:33:31 +02:00 · 2026-10-05 06:33:31 +02:00 · 2026-10-05 06:33:31 +02:00 · 2026-10-04 22:28:43 +02:00 · 2026-10-04 22:28:42 +02:00 · 2026-10-04 22:28:42 +02:00
60 changed files with 3819 additions and 17 deletions
@@ -26,6 +26,71 @@ Vor `npm version` wandert der Abschnitt „Unveröffentlicht" unter eine neue
 ## [Unveröffentlicht]
 ## [1.0.5] – 2026-10-05
 Das zweite Vierteljahr beginnt, mit Blick auf Teil 1 der Abschlussprüfung.
 Dazu eine Anleitung für den Betrieb auf Proxmox.
 ### Hinzugefügt
 - **Woche 13 · Linux-Grundlagen** – Handouts S6 (Dateisystem und Befehle), S7
  (Benutzer, Gruppen, Dateirechte), S8 (Pakete, systemd, SSH), Praxisaufgabe
  13.1 (Linux-Server einrichten und absichern), Checkliste „Linux-Server
  grundlegend einrichten", Lernzielkontrolle
 - **Woche 14 · Betrieb und Überwachung** – Handouts S9 (Überwachung und
  Schwellwerte), S10 (Protokolle und Zeitsynchronisation), S11
  (Patch-Management), Praxisaufgabe 14.1 (Überwachung für drei Systeme)
 - **Woche 15 · Serviceanfragen bearbeiten** – Handouts A10 (Störung,
  Serviceanfrage, Problem, Änderung), A11 (Priorisieren und eskalieren), A12
  (Wissensartikel), Praxisaufgabe 15.1 (eine Woche im ersten Level), Checkliste
  „Änderung planen und durchführen", Lernzielkontrolle
 - **Woche 16 · Vorbereitung auf Teil 1** – Handouts H4 (Ergonomie), H5 (Energie
  rechnen, nachhaltig beschaffen und entsorgen), P4 (Pseudocode, Struktogramm,
  Schreibtischtest), Praxisaufgabe 16.1 (Arbeitsplätze bewerten), Checkliste
  „Bildschirmarbeitsplatz prüfen" und eine **Probeprüfung Teil 1** – 90
  Minuten, 100 Punkte, durchgehende Fallsituation
 - 18 Glossareinträge, 36 Merkkarten
 - **`docs/BETRIEB-PROXMOX.md`** – von der leeren VM über Docker, Caddy mit
  HTTPS, erstes Konto und Sicherung bis zur Abnahme vor dem Echtbetrieb
 - Die README weist darauf hin, dass HTTPS Pflicht ist: Über `http://` nimmt der
  Browser das Anmeldecookie nicht an, und die Anmeldung scheitert ohne
  Fehlermeldung
 ## [1.0.4] – 2026-10-04
 Vier weitere Wochen Lehrgang – damit steht das erste Vierteljahr.
 ### Hinzugefügt
 - **Woche 9 · Virtualisierung** – Handouts V1 (Hypervisor, Überbuchung,
  Container), V2 (Snapshots, virtuelle Switches, Thin Provisioning), V3 (eine
  VM planen), Praxisaufgabe 9.1 (Testserver als VM), Checkliste „Virtuelle
  Maschine bereitstellen", Lernzielkontrolle
 - **Woche 10 · Verzeichnisdienst und Serverdienste** – Handouts V4 (Active
  Directory, OUs, AGDLP), V5 (Gruppenrichtlinien, LSDOU, gpresult), V6 (Datei-
  und Druckdienste), Praxisaufgabe 10.1 (Abteilung im Verzeichnis abbilden),
  Checkliste „Neuen Mitarbeiter einrichten"
 - **Woche 11 · Netze trennen und verbinden** – Handouts N5 (VLANs und Trunks),
  N6 (Routing und Firewallregeln), N7 (WLAN im Betrieb), Praxisaufgabe 11.1
  (Gästenetz im Testaufbau), Lernzielkontrolle
 - **Woche 12 · Kundenauftrag** – Handouts A7 (Lastenheft und Pflichtenheft),
  A8 (Bezugskalkulation), A9 (Vertragsarten, Abnahme, Gewährleistung),
  Praxisaufgabe 12.1 (Angebot für neue Arbeitsplätze), Checkliste „Auftrag
  übergeben und abnehmen lassen"
 - Themenblock „Server und Virtualisierung" (V), 23 Glossareinträge,
  36 Merkkarten
 ### Behoben
 - **Glossarverweise konnten das HTML eines Handouts aufbrechen.** Nach dem
  Setzen eines Verweises durchsuchten die folgenden Begriffe auch dessen
  title-Attribut. Enthielt die Erklärung einen weiteren Glossarbegriff – etwa
  „OU" in der Erklärung von „Gruppenrichtlinie" –, entstand mitten im Attribut
  ein zweiter Verweis, und im Text stand plötzlich `– was zuletzt kommt,
  gewinnt.">Gruppenrichtlinie`. Gesetzte Verweise werden jetzt aus dem
  weiteren Durchsuchen herausgenommen; ein Test prüft alle Handouts gegen das
  echte Glossar
 ## [1.0.3] – 2026-10-04
 Vier neue Wochen Lehrgang. Damit ist jede Position des Ausbildungsrahmenplans
@@ -12,6 +12,7 @@ Lernplattform-Baukasten, keine Mandanten, keine Cloud.
 > **Stand:** Alle zehn Bausteine sind fertig – Fassung 1.0.0.
 >
 > - [**Anleitung mit Bildschirmfotos**](docs/ANLEITUNG.md) – wie man damit arbeitet
 > - [**Betrieb auf Proxmox**](docs/BETRIEB-PROXMOX.md) – von der leeren VM bis zum Echtbetrieb
 > - [Abnahmeprotokoll](docs/ABNAHME.md) – die Abnahmekriterien, einzeln durchgespielt
 > - [Änderungsprotokoll](CHANGELOG.md) · [Fahrplan](ROADMAP.md) ·
 >   [Entscheidungen](ENTSCHEIDUNGEN.md)
@@ -25,7 +26,9 @@ Lernplattform-Baukasten, keine Mandanten, keine Cloud.
 - **Betrieb:** Docker mit Compose-Erweiterung (Docker 24 oder neuer)
 - **Entwicklung:** Node.js 22 oder neuer, Git
 - Ein Reverse Proxy, der TLS beendet (nginx, Caddy, Traefik) – die Anwendung
-  selbst spricht nur HTTP und lauscht nur auf der Schleife
+  selbst spricht nur HTTP und lauscht nur auf der Schleife. **HTTPS ist Pflicht:**
  Das Anmeldecookie ist im Betrieb als `Secure` gesetzt, über `http://` scheitert
  die Anmeldung ohne Fehlermeldung
 ### Betrieb mit Docker
@@ -0,0 +1,53 @@
 ---
 id: "10.1"
 titel: Eine Abteilung im Verzeichnisdienst abbilden
 woche: 10
 block: server
 ziel: Du bildest auf dem Testserver eine Abteilung mit OU, Gruppen nach AGDLP, Freigabe, Laufwerkszuordnung und Druckerzuordnung ab und weist mit zwei Testkonten nach, dass jede Rolle genau die vorgesehenen Rechte hat.
 zeitrahmen: 8 Stunden, verteilt auf zwei Tage
 rahmenplan: [B3, A6, B1, A5]
 lernfeld: LF10
 material:
  - Testserver aus Praxisaufgabe 9.1 mit Domänencontroller-Rolle oder Zugang zur Testdomäne
  - Ein Testclient, der Mitglied der Testdomäne ist
  - Abteilungsübersicht aus Praxisaufgabe 5.1
  - Checkliste „Neuen Mitarbeiter einrichten"
 kriterien:
  - Ein Plan mit OU-Struktur, Gruppen und Rechten lag vor der Umsetzung vor
  - Die Gruppen folgen AGDLP und der Namensregel
  - Berechtigungen sind ausschließlich an domänenlokale Gruppen vergeben, nicht an Konten
  - Laufwerk und Drucker werden per Gruppenrichtlinie zugeordnet, gefiltert auf die Gruppe
  - Zwei Testkonten mit unterschiedlicher Rolle haben genau die vorgesehenen Rechte – nachgewiesen durch Anmeldung, nicht durch Ansicht der Einstellungen
  - gpresult wurde am Client geprüft und das Ergebnis dokumentiert
  - Ein Abteilungswechsel eines Testkontos wurde durchgespielt, nur durch Änderung der Gruppenzugehörigkeit
 ---
 ## Auftrag
 Nimm eine Abteilung aus deiner Übersicht aus Aufgabe 5.1 – etwa den Einkauf – und bilde sie
 in der Testdomäne vollständig ab.
 1. **Planen:** OU für die Abteilung, globale Gruppen nach Rolle (Mitarbeitende,
   Abteilungsleitung), domänenlokale Gruppen nach Recht (Ablage ändern, Ablage lesen).
   Schreib auf, welche Rolle welches Recht bekommt.
 2. **Ablage:** Ordner auf dem Testserver anlegen, freigeben, NTFS-Rechte an die
   domänenlokalen Gruppen vergeben.
 3. **Konten:** Zwei Testkonten nach der Checkliste anlegen, eines je Rolle.
 4. **Richtlinien:** Laufwerkszuordnung und Druckerzuordnung per Gruppenrichtlinie, gefiltert
   auf die Gruppe der Abteilung.
 5. **Nachweisen:** Mit beiden Testkonten am Testclient anmelden, Zugriff prüfen – auch, was
   **nicht** gehen darf. `gpresult /r` ausführen und festhalten.
 6. **Wechsel durchspielen:** Ein Testkonto wechselt in eine andere Abteilung. Ändere nur die
   Gruppenzugehörigkeit und prüfe erneut.
 ## Worauf es ankommt
 Der Nachweis per Anmeldung ist der Teil, der zählt. Eine Berechtigung, die im Dialog richtig
 aussieht, aber beim Anmelden nicht wirkt – etwa weil die Freigabe enger ist als NTFS oder
 die Richtlinie herausgefiltert wird –, fällt sonst erst dem Mitarbeiter am ersten Arbeitstag
 auf.
 ## Zeit
 Zwei Tage. Plane am ersten Tag und setze die Ablage um, am zweiten Tag Konten, Richtlinien
 und Nachweis.
@@ -0,0 +1,54 @@
 ---
 id: "11.1"
 titel: Ein Gästenetz im Testaufbau einrichten
 woche: 11
 block: netzwerk
 ziel: Du richtest im Testaufbau ein Gästenetz mit eigenem VLAN, Subnetz, DHCP, Firewallregeln und Funknetz ein und weist nach, dass Gäste ins Internet kommen, aber kein internes Netz erreichen.
 zeitrahmen: 7 Stunden
 rahmenplan: [B2, A6, A5, B1]
 lernfeld: LF9
 material:
  - Testswitch mit VLAN-Unterstützung
  - Testfirewall (z. B. OPNsense oder pfSense, auch als VM) mit Internetzugang
  - Ein Access Point, der mehrere Funknetze mit VLAN-Zuordnung kann
  - Zwei Testgeräte, eines davon ein Smartphone oder Notebook mit WLAN
  - Netzplan und VLAN-Übersicht des Testaufbaus
 kriterien:
  - Ein Plan mit VLAN-ID, Subnetz, Gateway, DHCP-Bereich und Firewallregeln lag vor der Umsetzung vor
  - Switchports sind nach Plan als Access- bzw. Trunk-Port konfiguriert, auf dem Trunk sind nur die benötigten VLANs zugelassen
  - Ein Gastgerät erhält per DHCP eine Adresse aus dem Gästenetz
  - Ein Gastgerät erreicht Internetseiten über den Namen
  - Ein Gastgerät erreicht weder ein internes Netz noch die Verwaltungsoberfläche von Firewall, Switch oder Access Point – nachgewiesen mit Ping und Browser
  - Zwei Gastgeräte erreichen sich nicht gegenseitig
  - Jede Firewallregel hat eine Beschreibung mit Zweck
  - Netzplan und VLAN-Übersicht sind aktualisiert
 ---
 ## Auftrag
 Für Besucher und Lieferanten soll es ein Funknetz geben, das ins Internet führt und sonst
 nirgendwohin. Du baust es im Testaufbau.
 1. **Planen:** VLAN-ID, Subnetz, Gateway auf der Firewall, DHCP-Bereich, DNS. Schreib die
   Firewallregeln in der Reihenfolge auf, in der sie stehen sollen – siehe Handout N6.
 2. **Switch:** VLAN anlegen, Port zur Firewall und Port zum Access Point als Trunk mit den
   benötigten VLANs.
 3. **Firewall:** Schnittstelle für das VLAN, Gateway-Adresse, DHCP, Regeln.
 4. **Access Point:** Funknetz „Gast" mit WPA2/WPA3-Personal, Zuordnung zu VLAN 90, Isolation
   der Endgeräte.
 5. **Nachweisen:** Mit einem Gastgerät Adresse prüfen, Internetseite öffnen, interne Adressen
   und die Verwaltungsoberflächen anpingen und im Browser aufrufen – das muss scheitern. Mit
   zwei Gastgeräten prüfen, dass sie sich nicht erreichen.
 6. **Dokumentieren:** Plan mit den tatsächlichen Werten, Netzplan und VLAN-Übersicht
   aktualisieren.
 ## Worauf es ankommt
 Der Nachweis, was **nicht** geht, ist wichtiger als der, was geht. Dass ein Gast ins Internet
 kommt, merkt jeder. Dass er auch die Verwaltungsoberfläche der Firewall aufrufen kann, merkt
 man erst, wenn es jemand ausprobiert – und dann besser du.
 ## Zeit
 Sieben Stunden. Teste nach jedem Schritt, nicht erst am Ende – ein falsch eingestellter
 Trunk ist nach dem Einrichten der Firewall nur noch schwer zu finden.
@@ -0,0 +1,51 @@
 ---
 id: "12.1"
 titel: Ein Angebot für neue Arbeitsplätze ausarbeiten
 woche: 12
 block: arbeitsalltag
 ziel: Du nimmst die Anforderungen für vier neue Arbeitsplätze auf, holst drei vergleichbare Angebote ein, rechnest und bewertest sie und legst eine begründete Empfehlung samt Pflichtenheft vor.
 zeitrahmen: 10 Stunden, verteilt auf drei Tage
 rahmenplan: [A2, A3, A1, A7]
 lernfeld: LF2
 material:
  - Gesprächstermin mit dem „Kunden" (Ausbilder oder eine Führungskraft mit echtem Bedarf)
  - Zugang zu Händlerportalen bzw. Ansprechpartner bei zwei Lieferanten des Betriebs
  - Vorlage für Nutzwertanalyse (aus Praxisaufgabe 2.2)
 kriterien:
  - Ein Lastenheft mit prüfbaren Muss-, Soll- und Kann-Anforderungen liegt vor und ist vom Kunden bestätigt
  - Drei Angebote liegen vor, eingeholt mit derselben Anfrage
  - Für jedes Angebot ist der Bezugspreis nach Schema berechnet, netto
  - Die Nutzwertanalyse enthält neben dem Preis mindestens drei weitere gewichtete Kriterien
  - Die Empfehlung begründet die Wahl und nennt, was gegen die anderen Angebote spricht
  - Das Pflichtenheft beschreibt Geräte, Einrichtung, Zeitplan und Abnahmekriterien
  - Die Empfehlung wurde dem Kunden in höchstens zehn Minuten vorgestellt
 ---
 ## Auftrag
 Eine Abteilung bekommt vier neue Arbeitsplätze. Du bereitest die Entscheidung so vor, dass
 der Kunde sie in einer Besprechung treffen kann.
 1. **Anforderungen aufnehmen:** Gespräch mit dem Kunden nach Handout A7. Schreib das
   Lastenheft und lass es bestätigen. Jede Anforderung muss prüfbar sein.
 2. **Anfrage stellen:** Eine einheitliche Anfrage an drei Anbieter – Menge, Anforderungen,
   Liefertermin, gewünschte Garantie.
 3. **Rechnen:** Bezugskalkulation je Angebot nach Handout A8.
 4. **Bewerten:** Nutzwertanalyse nach Handout H3 mit Preis, Lieferzeit, Garantie und Service
   und den Kriterien, die sich aus dem Lastenheft ergeben.
 5. **Pflichtenheft:** Welche Geräte, wie eingerichtet, bis wann, und woran der Kunde bei der
   Abnahme prüft, ob alles erfüllt ist.
 6. **Vorstellen:** Höchstens zehn Minuten, eine Seite Handzettel, Empfehlung am Anfang, nicht
   am Ende.
 ## Worauf es ankommt
 Der Kunde will eine Entscheidung treffen, keine Datenblätter lesen. Eine gute Vorstellung
 beginnt mit der Empfehlung, begründet sie mit zwei, drei Punkten und zeigt die Rechnung nur
 auf Nachfrage. Und: Die Abnahmekriterien im Pflichtenheft sind die Absicherung für den Tag,
 an dem jemand sagt, so habe man sich das nicht vorgestellt.
 ## Zeit
 Drei Tage, davon ein Tag Wartezeit auf Angebote. In dieser Zeit schreibst du das
 Pflichtenheft vor.
@@ -0,0 +1,49 @@
 ---
 id: "13.1"
 titel: Einen Linux-Server grundlegend einrichten und absichern
 woche: 13
 block: system
 ziel: Du richtest auf dem Testhost einen Linux-Server ein, sicherst den Fernzugang ab, stellst einen Webserver als Dienst bereit und weist nach, dass nur erreichbar ist, was erreichbar sein soll.
 zeitrahmen: 6 Stunden
 rahmenplan: [B3, A6, B1, A5]
 lernfeld: LF9
 material:
  - Testhost aus Praxisaufgabe 9.1 und ein Installationsabbild von Debian oder Ubuntu Server
  - Ein eigener Rechner mit SSH-Client
  - Checkliste „Linux-Server grundlegend einrichten"
 kriterien:
  - Die VM ist nach Handout V3 geplant und dokumentiert
  - Es gibt einen persönlichen Benutzer mit sudo-Recht, gearbeitet wird nicht als root
  - Die Anmeldung per SSH geht nur mit Schlüssel, root kann sich nicht direkt anmelden – nachgewiesen durch einen fehlschlagenden Versuch
  - Automatische Sicherheitsupdates sind eingerichtet
  - Die Firewall lässt nur SSH und HTTP zu, ss -tlnp bestätigt, dass nichts Unerwartetes lauscht
  - nginx läuft als Dienst, startet nach einem Neustart von selbst und liefert eine eigene Testseite aus
  - Ein absichtlich herbeigeführter Fehler in der nginx-Konfiguration wurde mit journalctl gefunden und behoben
 ---
 ## Auftrag
 1. **Planen und installieren:** VM nach Handout V3 planen, Debian oder Ubuntu Server
   installieren, nur das Grundsystem und den SSH-Server auswählen.
 2. **Benutzer:** persönlichen Benutzer anlegen und in die Gruppe `sudo` aufnehmen.
 3. **Schlüssel:** Schlüsselpaar auf deinem Rechner erzeugen, öffentlichen Schlüssel
   hinterlegen, Anmeldung testen.
 4. **SSH absichern:** root-Anmeldung und Passwort-Anmeldung abschalten. Zweite Sitzung offen
   lassen und testen, bevor du die erste schließt.
 5. **Aktualisieren:** alle Updates einspielen, automatische Sicherheitsupdates einrichten.
 6. **Firewall:** nur SSH und HTTP freigeben, mit `ss -tlnp` gegenprüfen.
 7. **Webserver:** nginx installieren, eine eigene Testseite unter `/var/www/html` ablegen,
   Neustart des Servers, prüfen, ob die Seite wieder da ist.
 8. **Fehlersuche üben:** Baue einen Tippfehler in die nginx-Konfiguration ein, starte nginx neu,
   finde die Ursache mit `systemctl status` und `journalctl`, behebe sie. Halte die Meldung fest.
 ## Worauf es ankommt
 Der Nachweis, dass die root-Anmeldung und die Anmeldung per Passwort **scheitern**, gehört
 dazu. Eine Einstellung in der Konfigurationsdatei ist erst dann wirksam, wenn der Dienst sie
 geladen hat – und das zeigt nur der Versuch.
 ## Zeit
 Sechs Stunden. Wenn du dich ausgesperrt hast, kommst du über die Konsole des Hypervisors
 wieder hinein – genau dafür gibt es sie.
@@ -0,0 +1,48 @@
 ---
 id: "14.1"
 titel: Eine Überwachung für drei Systeme einrichten
 woche: 14
 block: system
 ziel: Du richtest für drei Systeme der Testumgebung eine Überwachung mit begründeten Schwellwerten ein, legst fest, wer bei welchem Alarm was tut, und weist mit einem absichtlich herbeigeführten Ausfall nach, dass der Alarm ankommt.
 zeitrahmen: 6 Stunden
 rahmenplan: [A8, A5, B3]
 lernfeld: LF11
 material:
  - Zugang zum Überwachungssystem des Betriebs oder eine Test-Installation (z. B. Checkmk, Zabbix oder Uptime Kuma)
  - Testserver aus den Praxisaufgaben 9.1 und 13.1 sowie ein Testclient
  - Ein Postfach oder Kanal, an den Alarme gehen dürfen
 kriterien:
  - Für jedes System sind mindestens vier Prüfungen eingerichtet, darunter Erreichbarkeit und Plattenplatz
  - Jede Prüfung hat Schwellen für Warnung und kritisch, mit Begründung
  - Für jeden kritischen Alarm ist eine Handlung und ein Empfänger festgelegt
  - Ein absichtlicher Ausfall (Dienst gestoppt) hat einen Alarm ausgelöst, die Zeit bis zum Eingang ist gemessen
  - Nach Behebung meldet die Überwachung die Entwarnung
  - Es ist beschrieben, wie auffällt, dass die Überwachung selbst ausgefallen ist
  - Die Einrichtung ist dokumentiert
 ---
 ## Auftrag
 1. **Auswählen:** Nimm den Windows-Testserver, den Linux-Server und einen Testclient.
 2. **Prüfungen festlegen:** Was muss je System überwacht werden? Nutze die Übersicht aus Handout
   S9 als Ausgangspunkt, aber übernimm sie nicht blind – ein Client braucht anderes als ein
   Server.
 3. **Schwellen begründen:** Schreib zu jeder Schwelle einen Satz, warum sie dort liegt.
 4. **Handlungen festlegen:** Wer bekommt welchen Alarm, und was tut er dann? Ein Alarm ohne
   Handlung ist keiner.
 5. **Einrichten** im Überwachungssystem.
 6. **Testen:** Stoppe einen überwachten Dienst. Miss die Zeit, bis der Alarm ankommt. Starte den
   Dienst wieder und prüfe die Entwarnung.
 7. **Die Überwachung überwachen:** Beschreibe, woran ihr merkt, dass das Überwachungssystem
   selbst ausgefallen ist.
 ## Worauf es ankommt
 Weniger ist mehr. Zwanzig Prüfungen je System sehen gründlich aus und erzeugen nach einer
 Woche so viele Meldungen, dass niemand mehr hinschaut. Gesucht sind die Prüfungen, bei denen
 ein Alarm tatsächlich bedeutet: Jetzt muss jemand etwas tun.
 ## Zeit
 Sechs Stunden. Vor dem Test kurz ankündigen, dass gleich ein Alarm kommt – sonst sucht jemand
 anderes die Ursache.
@@ -0,0 +1,47 @@
 ---
 id: "15.1"
 titel: Eine Woche im ersten Level
 woche: 15
 block: arbeitsalltag
 ziel: Du übernimmst unter Aufsicht den ersten Level im Ticketsystem, ordnest jedes Ticket nach Art und Priorität ein, erkennst ein wiederkehrendes Problem und schreibst zwei Wissensartikel.
 zeitrahmen: Montag bis Donnerstag, jeweils vormittags
 rahmenplan: [A1, A2, A5, A7]
 lernfeld: LF6
 material:
  - Zugang zum Ticketsystem mit Bearbeitungsrecht im ersten Level
  - Prioritätenmatrix und Zielzeiten des Betriebs (oder die aus Handout A11)
  - Zugang zur Wissensdatenbank
 kriterien:
  - Mindestens 15 Tickets sind nach Art (Störung, Serviceanfrage) und Priorität eingeordnet, jeweils mit einem Satz Begründung
  - Die Einordnungen sind mit dem Ausbilder abgeglichen, Abweichungen besprochen
  - Jede Eskalation an den zweiten Level enthält alle Angaben, sodass keine Rückfrage nötig war
  - Die Nutzer wurden bei längerer Bearbeitung von sich aus über den Stand informiert
  - Mindestens ein wiederkehrendes Muster ist als Problem mit verknüpften Tickets angelegt
  - Zwei Wissensartikel nach dem Aufbau aus Handout A12 liegen in der Wissensdatenbank
 ---
 ## Auftrag
 An vier Vormittagen bist du der erste Ansprechpartner für neue Tickets – der Ausbilder oder ein
 Kollege aus dem zweiten Level sitzt daneben oder ist erreichbar.
 1. **Annehmen:** Jedes neue Ticket lesen, bei Bedarf beim Melder nachfragen, bis die Angaben
   aus Handout A1 vollständig sind.
 2. **Einordnen:** Art und Priorität festlegen und in einem Satz begründen.
 3. **Lösen oder eskalieren:** Was du lösen kannst, löst du. Was nicht, gibst du vollständig an
   den zweiten Level weiter.
 4. **Informieren:** Melde dich bei Nutzern, deren Ticket länger dauert, bevor sie nachfragen.
 5. **Muster erkennen:** Sammle Tickets, die sich ähneln. Lege für ein Muster ein Problem an.
 6. **Aufschreiben:** Für zwei Lösungen, die du in dieser Woche gebraucht hast, schreibst du einen
   Wissensartikel.
 7. **Abgleichen:** Am Ende jedes Vormittags gehst du deine Einordnungen mit dem Ausbilder durch.
 ## Worauf es ankommt
 Die Begründung der Priorität ist wichtiger als die Priorität selbst. Wer begründen kann, warum
 der Bildschirm der Geschäftsführung nach dem Lagerdrucker kommt, hat das Prinzip verstanden – und
 kann es dem Geschäftsführer auch erklären.
 ## Zeit
 Vier Vormittage. Nachmittags laufen die übrigen Inhalte der Woche.
@@ -0,0 +1,47 @@
 ---
 id: "16.1"
 titel: Drei Arbeitsplätze nach Ergonomie und Energie bewerten
 woche: 16
 block: hardware
 ziel: Du prüfst drei Bildschirmarbeitsplätze auf ergonomische Mängel, misst ihren Stromverbrauch, rechnest die Jahreskosten hoch und legst eine begründete Empfehlung mit Kosten vor.
 zeitrahmen: 5 Stunden
 rahmenplan: [C3, C4, A3, A2]
 lernfeld: LF2
 material:
  - Checkliste „Bildschirmarbeitsplatz prüfen"
  - Eine Energiemessgerät-Steckdose
  - Maßband
  - Aktueller Strompreis des Betriebs (bei der Buchhaltung erfragen)
 kriterien:
  - An drei Arbeitsplätzen ist die Checkliste vollständig abgearbeitet, Mängel sind mit Foto oder Maß belegt
  - Die Nutzer wurden nach Beschwerden gefragt, ihre Antworten sind festgehalten
  - Der Verbrauch ist im Betrieb und im Leerlauf gemessen, nicht aus dem Datenblatt übernommen
  - Die Jahreskosten sind nach der Formel aus Handout H5 nachvollziehbar berechnet
  - Für jeden Mangel ist eine Maßnahme mit Kosten oder Aufwand vorgeschlagen
  - Sofort behebbare Mängel (Bildschirmhöhe, Ausrichtung, Energiesparplan) sind mit Einverständnis der Nutzer behoben
 ---
 ## Auftrag
 1. **Auswählen:** Drei Arbeitsplätze in verschiedenen Abteilungen, mit dem Einverständnis der
   Personen, die dort arbeiten.
 2. **Prüfen:** Checkliste abarbeiten, Maße nehmen, Mängel fotografieren.
 3. **Fragen:** Haben die Nutzer Beschwerden – Nacken, Augen, Rücken, Handgelenke?
 4. **Messen:** Mit der Messsteckdose Rechner und Bildschirme im Betrieb und im Leerlauf messen,
   außerdem nach Feierabend, falls sie nicht ausgeschaltet werden.
 5. **Rechnen:** Jahreskosten je Arbeitsplatz und hochgerechnet auf alle gleichartigen
   Arbeitsplätze im Betrieb.
 6. **Beheben, was sofort geht:** Bildschirm einstellen, Arbeitsplatz drehen, Energiesparplan
   setzen.
 7. **Empfehlen:** Was bleibt, mit Maßnahme, Kosten und Nutzen – auf einer Seite.
 ## Worauf es ankommt
 Die Messung zählt, nicht das Datenblatt. Ein Rechner, der laut Hersteller 15 Watt im Leerlauf
 braucht, kann mit einem schlecht eingestellten Energiesparplan das Dreifache aufnehmen. Und:
 Die Aufgabe ist eine gute Übung für Teil 1 der Abschlussprüfung, in dem Ergonomie und
 Energiekosten regelmäßig vorkommen.
 ## Zeit
 Fünf Stunden. Die Messung nach Feierabend kann über Nacht laufen.
@@ -0,0 +1,53 @@
 ---
 id: "9.1"
 titel: Einen Testserver als virtuelle Maschine bereitstellen
 woche: 9
 block: server
 ziel: Du planst eine virtuelle Maschine für einen Testserver, stellst sie auf dem Testhost bereit, nimmst sie in Sicherung und Dokumentation auf und weist mit einem Snapshot nach, dass du eine Änderung sauber zurücknehmen kannst.
 zeitrahmen: 6 Stunden
 rahmenplan: [B1, B3, A5, A8]
 lernfeld: LF9
 material:
  - Zugang zum Testhost (Proxmox VE, Hyper-V oder vergleichbar)
  - Installationsabbild eines Server-Betriebssystems
  - Freie IP-Adresse im Testnetz und Zugang zum DNS
  - Checkliste „Virtuelle Maschine bereitstellen"
 kriterien:
  - Ein Planungsblatt mit Zweck, Ressourcen, Festplatten, Netz, Sicherung und Verantwortlichem lag vor dem Anlegen vor
  - Die zugewiesenen Ressourcen sind begründet und passen zu dem, was der Host hergibt
  - System und Daten liegen auf getrennten virtuellen Festplatten
  - Die VM hat eine feste Adresse, einen DNS-Eintrag und einen Namen nach der Namensregel
  - Gasterweiterungen sind installiert, die VM fährt über den Hypervisor sauber herunter
  - Die VM ist in die Sicherung aufgenommen, ein erster Sicherungslauf ist erfolgreich
  - Ein Snapshot wurde vor einer Änderung angelegt, die Änderung zurückgenommen und der Snapshot anschließend gelöscht
  - Die Dokumentation liegt in der IT-Dokumentation
 ---
 ## Auftrag
 Die Ausbildung braucht einen eigenen Testserver, auf dem in den nächsten Wochen
 Verzeichnisdienst und Freigaben geübt werden. Du stellst ihn bereit.
 1. **Planen:** Fülle das Planungsblatt nach Handout V3 aus und lass es dir vom Ausbilder
   freigeben, bevor du etwas anlegst.
 2. **Prüfen:** Hat der Testhost genug freien Arbeitsspeicher und Speicherplatz?
 3. **Anlegen und installieren:** VM nach Plan anlegen, Betriebssystem installieren,
   Gasterweiterungen und Updates einspielen.
 4. **Einbinden:** feste Adresse, DNS-Eintrag, Name nach Regel.
 5. **Absichern:** VM in die Sicherung aufnehmen und einen ersten Lauf abwarten.
 6. **Rückweg üben:** Snapshot anlegen, eine Änderung vornehmen (etwa eine Rolle
   installieren), auf den Snapshot zurücksetzen, prüfen, dass die Änderung weg ist, und den
   Snapshot löschen.
 7. **Dokumentieren:** Planungsblatt mit den tatsächlichen Werten in der IT-Dokumentation
   ablegen.
 ## Worauf es ankommt
 Das Planungsblatt vor dem Anlegen ist kein Formular, sondern der Kern der Aufgabe. Eine VM
 ohne Plan funktioniert genauso – bis jemand in einem Jahr fragt, wofür sie da ist und ob man
 sie abschalten kann.
 ## Zeit
 Sechs Stunden einschließlich Installation. Die Wartezeiten bei Installation und Updates
 nutzt du für die Dokumentation.
@@ -0,0 +1,60 @@
 id: 07-vm-bereitstellen
 titel: Virtuelle Maschine bereitstellen
 block: server
 worum: >-
  Vom Planungsblatt bis zur VM in Sicherung und Überwachung. Die Schritte nach
  der Installation sind die, die sonst fehlen.
 rahmenplan: [B1, B3, A5]
 lernfeld: LF9
 mit_ticket: true
 gruppen:
  - id: vorbereiten
    titel: Vorbereiten
    schritte:
      - id: v1
        text: Zweck und Verantwortlicher der VM schriftlich festgehalten
      - id: v2
        text: Ressourcen, Festplatten, Netz bzw. VLAN und IP-Adresse geplant
      - id: v3
        text: Geprüft, dass der Host Arbeitsspeicher und Speicherplatz hergibt
      - id: v4
        text: Name nach Namensregel vergeben, IP-Adresse reserviert
  - id: durchfuehren
    titel: Durchführen
    schritte:
      - id: d1
        text: VM angelegt, System- und Datenfestplatte getrennt
      - id: d2
        text: Betriebssystem installiert, Gasterweiterungen eingerichtet
      - id: d3
        text: Alle verfügbaren Updates eingespielt
      - id: d4
        text: Feste IP-Adresse gesetzt, DNS-Eintrag angelegt
      - id: d5
        text: Lokales Administratorkennwort nach Vorgabe gesetzt und im Passwortmanager abgelegt
  - id: pruefen
    titel: Prüfen
    schritte:
      - id: p1
        text: VM über den Namen erreichbar
      - id: p2
        text: Herunterfahren über den Hypervisor funktioniert sauber
      - id: p3
        text: VM in die Sicherung aufgenommen, erster Lauf erfolgreich
      - id: p4
        text: VM in die Überwachung aufgenommen (Erreichbarkeit, Speicherplatz)
      - id: p5
        text: Keine Snapshots aus der Einrichtung übrig geblieben
  - id: abschliessen
    titel: Abschließen
    schritte:
      - id: a1
        text: Planungsblatt mit den tatsächlichen Werten in der IT-Dokumentation abgelegt
      - id: a2
        text: VM an den Verantwortlichen übergeben
      - id: a3
        text: Ticket geschlossen mit Name, Adresse und tatsächlichem Aufwand
@@ -0,0 +1,56 @@
 id: 08-mitarbeiter-einrichten
 titel: Neuen Mitarbeiter einrichten
 block: server
 worum: >-
  Rechte kommen aus der Rolle, nicht aus dem Konto eines Kollegen. Und das
  Erstpasswort wird persönlich übergeben, nie per Mail an den Vorgesetzten.
 rahmenplan: [B3, A6, A7]
 lernfeld: LF10
 mit_ticket: true
 gruppen:
  - id: vorbereiten
    titel: Vorbereiten
    schritte:
      - id: v1
        text: Meldung der Personalabteilung liegt vor – Name, Eintrittsdatum, Abteilung, Funktion
      - id: v2
        text: Benötigte Rollen und Zugänge von der Führungskraft schriftlich angefordert
      - id: v3
        text: Gerät reserviert und nach Checkliste vorbereitet
  - id: durchfuehren
    titel: Durchführen
    schritte:
      - id: d1
        text: Konto nach Namensregel in der OU der Abteilung angelegt – nicht von einem Kollegen kopiert
      - id: d2
        text: Konto in die globalen Gruppen der Rolle aufgenommen, keine Einzelberechtigungen
      - id: d3
        text: Postfach und Verteilerlisten eingerichtet
      - id: d4
        text: Fachanwendungen freigeschaltet, soweit angefordert
      - id: d5
        text: Erstpasswort gesetzt, Änderung bei der ersten Anmeldung erzwungen
      - id: d6
        text: Gerät in der Geräteliste der Person zugeordnet
  - id: pruefen
    titel: Prüfen
    schritte:
      - id: p1
        text: Anmeldung am vorgesehenen Gerät funktioniert
      - id: p2
        text: Laufwerke und Drucker der Abteilung kommen per Richtlinie an
      - id: p3
        text: Zugriff auf eine Ablage, die nicht zur Rolle gehört, wird abgewiesen
  - id: abschliessen
    titel: Abschließen
    schritte:
      - id: a1
        text: Erstpasswort persönlich übergeben, zweiten Faktor gemeinsam eingerichtet
      - id: a2
        text: Kurze Einweisung – Anmelden, Sperren, Ablage, Drucken, wie man ein Ticket aufgibt
      - id: a3
        text: Ticket geschlossen mit Gruppen, Gerät und tatsächlichem Aufwand
@@ -0,0 +1,54 @@
 id: 09-auftrag-abnehmen-lassen
 titel: Auftrag übergeben und abnehmen lassen
 block: arbeitsalltag
 worum: >-
  Die Abnahme ist der Moment, in dem aus „fertig" ein nachweisbares „erledigt"
  wird. Was hier nicht im Protokoll steht, ist später Verhandlungssache.
 rahmenplan: [A7, A5, A2]
 lernfeld: LF6
 mit_ticket: true
 gruppen:
  - id: vorbereiten
    titel: Vorbereiten
    schritte:
      - id: v1
        text: Alle Anforderungen aus dem Pflichtenheft einzeln selbst geprüft und abgehakt
      - id: v2
        text: Dokumentation für den Kunden fertig – Zugangsdaten getrennt übergeben
      - id: v3
        text: Termin mit der Person vereinbart, die abnehmen darf
      - id: v4
        text: Abnahmeprotokoll mit den Abnahmekriterien aus dem Pflichtenheft vorbereitet
  - id: durchfuehren
    titel: Durchführen
    schritte:
      - id: d1
        text: Jedes Abnahmekriterium gemeinsam mit dem Kunden vorgeführt und geprüft
      - id: d2
        text: Gefundene Mängel mit Beschreibung und vereinbarter Frist ins Protokoll eingetragen
      - id: d3
        text: Kunde bzw. Anwender eingewiesen
      - id: d4
        text: Dokumentation übergeben
  - id: pruefen
    titel: Prüfen
    schritte:
      - id: p1
        text: Protokoll vollständig – Datum, Teilnehmer, Ergebnis je Kriterium, Restmängel
      - id: p2
        text: Protokoll von beiden Seiten unterschrieben
  - id: abschliessen
    titel: Abschließen
    schritte:
      - id: a1
        text: Leistungsnachweis mit tatsächlichem Aufwand an die Abrechnung gegeben
      - id: a2
        text: Restmängel als Tickets mit Frist angelegt
      - id: a3
        text: Abnahmeprotokoll beim Auftrag abgelegt
      - id: a4
        text: Rückmeldung des Kunden eingeholt und notiert
@@ -0,0 +1,60 @@
 id: 10-linux-server-einrichten
 titel: Linux-Server grundlegend einrichten
 block: system
 worum: >-
  Die Reihenfolge schützt vor dem Aussperren: erst der Benutzer, dann der
  Schlüssel, dann testen, dann erst die Passwort-Anmeldung abschalten.
 rahmenplan: [B3, A6]
 lernfeld: LF9
 mit_ticket: true
 gruppen:
  - id: vorbereiten
    titel: Vorbereiten
    schritte:
      - id: v1
        text: Zweck, Name, IP-Adresse und Verantwortlicher festgelegt
      - id: v2
        text: Konsolenzugang über den Hypervisor geprüft – der Notausgang, falls SSH nicht mehr geht
  - id: durchfuehren
    titel: Durchführen
    schritte:
      - id: d1
        text: Grundsystem mit SSH-Server installiert, nichts Unnötiges ausgewählt
      - id: d2
        text: Alle Updates eingespielt, automatische Sicherheitsupdates eingerichtet
      - id: d3
        text: Persönlicher Benutzer angelegt und in die Gruppe sudo aufgenommen
      - id: d4
        text: Öffentlicher SSH-Schlüssel hinterlegt, Anmeldung mit Schlüssel getestet
      - id: d5
        text: In sshd_config root-Anmeldung und Passwort-Anmeldung abgeschaltet, Dienst neu geladen
      - id: d6
        text: In einer zweiten Sitzung erfolgreich angemeldet, bevor die erste geschlossen wurde
      - id: d7
        text: Firewall eingerichtet, nur benötigte Dienste freigegeben
      - id: d8
        text: Zeitzone und Zeitsynchronisation geprüft
  - id: pruefen
    titel: Prüfen
    schritte:
      - id: p1
        text: Anmeldung als root per SSH schlägt fehl
      - id: p2
        text: Anmeldung per Passwort schlägt fehl
      - id: p3
        text: ss -tlnp zeigt nur die erwarteten Dienste
      - id: p4
        text: Nach einem Neustart laufen alle Dienste wieder
  - id: abschliessen
    titel: Abschließen
    schritte:
      - id: a1
        text: Server in Sicherung und Überwachung aufgenommen
      - id: a2
        text: Dokumentation mit Name, Adresse, Diensten und Zugängen abgelegt
      - id: a3
        text: Ticket geschlossen mit tatsächlichem Aufwand
@@ -0,0 +1,57 @@
 id: 11-aenderung-durchfuehren
 titel: Änderung planen und durchführen
 block: arbeitsalltag
 worum: >-
  Jede Änderung an einem laufenden System ist ein Risiko. Die Liste sorgt
  dafür, dass vorher feststeht, wie man zurückkommt – nicht erst, wenn es
  nötig wird.
 rahmenplan: [A5, A8, A1]
 lernfeld: LF6
 mit_ticket: true
 gruppen:
  - id: vorbereiten
    titel: Vorbereiten
    schritte:
      - id: v1
        text: Änderung beschrieben – was, warum, welche Systeme und Nutzer betroffen sind
      - id: v2
        text: Risiko eingeschätzt und Art der Änderung festgelegt (Standard, normal, Notfall)
      - id: v3
        text: Rückweg geplant und, wo möglich, vorher getestet
      - id: v4
        text: Aktuelle Sicherung oder Snapshot der betroffenen Systeme vorhanden
      - id: v5
        text: Freigabe durch die zuständige Person eingeholt
      - id: v6
        text: Zeitpunkt festgelegt und den Betroffenen angekündigt
  - id: durchfuehren
    titel: Durchführen
    schritte:
      - id: d1
        text: Änderung nach Plan umgesetzt, Abweichungen sofort notiert
      - id: d2
        text: Bei unerwartetem Verhalten nach festgelegter Zeit abgebrochen und Rückweg genutzt
  - id: pruefen
    titel: Prüfen
    schritte:
      - id: p1
        text: Ziel der Änderung erreicht und nachgewiesen
      - id: p2
        text: Betroffene Dienste funktionieren, Stichprobe bei einem Nutzer
      - id: p3
        text: Überwachung zeigt keine neuen Auffälligkeiten
  - id: abschliessen
    titel: Abschließen
    schritte:
      - id: a1
        text: Dokumentation und Netzplan bzw. Konfigurationsübersicht aktualisiert
      - id: a2
        text: Snapshots aus der Änderung entfernt
      - id: a3
        text: Abschluss den Betroffenen mitgeteilt
      - id: a4
        text: Ticket geschlossen mit Ergebnis, Abweichungen und tatsächlichem Aufwand
@@ -0,0 +1,61 @@
 id: 12-bildschirmarbeitsplatz-pruefen
 titel: Bildschirmarbeitsplatz prüfen
 block: hardware
 worum: >-
  Gemessen wird an der Person, die dort arbeitet, nicht am Möbelkatalog. Erst
  einstellen lassen, dann prüfen – viele Mängel sind nur falsch eingestellte
  Möbel.
 rahmenplan: [C3, C4]
 lernfeld: LF2
 mit_ticket: false
 gruppen:
  - id: vorbereiten
    titel: Vorbereiten
    schritte:
      - id: v1
        text: Termin mit der Person vereinbart, die dort arbeitet, und Zweck erklärt
      - id: v2
        text: Nach Beschwerden gefragt – Nacken, Augen, Rücken, Handgelenke
  - id: durchfuehren
    titel: Durchführen
    schritte:
      - id: d1
        text: Oberste Bildschirmzeile auf oder knapp unter Augenhöhe
      - id: d2
        text: Abstand zum Bildschirm etwa eine Armlänge
      - id: d3
        text: Blickrichtung parallel zum Fenster, keine Spiegelungen oder Blendung
      - id: d4
        text: Hauptbildschirm direkt vor dem Körper, zwei Bildschirme gleich hoch
      - id: d5
        text: Füße flach auf dem Boden, Oberschenkel etwa waagerecht
      - id: d6
        text: Unterarme bei lockeren Schultern etwa waagerecht auf Tischhöhe
      - id: d7
        text: Tastatur und Maus vor dem Körper, Maus direkt neben der Tastatur
      - id: d8
        text: Notebook nur mit externem Bildschirm, Tastatur und Maus im Dauerbetrieb
      - id: d9
        text: Energiesparplan aktiv, Bildschirm schaltet bei Abwesenheit ab
      - id: d10
        text: Kabel geordnet, keine Stolperfallen, keine Mehrfachsteckdosen hintereinander
  - id: pruefen
    titel: Prüfen
    schritte:
      - id: p1
        text: Mängel mit Foto oder Maß belegt
      - id: p2
        text: Mit der Person besprochen, ob die Einstellungen nach der Änderung angenehm sind
  - id: abschliessen
    titel: Abschließen
    schritte:
      - id: a1
        text: Sofort behebbare Mängel behoben
      - id: a2
        text: Bleibende Mängel mit Vorschlag an die zuständige Stelle gemeldet
      - id: a3
        text: Auf die Angebotsvorsorge für die Augen hingewiesen, falls Beschwerden bestehen
@@ -353,3 +353,325 @@
    Ein Speichernetz, das Servern Speicherblöcke bereitstellt, etwa per iSCSI.
    Der Server sieht eine Festplatte und legt selbst ein Dateisystem darauf an.
  siehe_auch: [NAS]
 # --- Woche 9: Virtualisierung ----------------------------------------------
 - begriff: Hypervisor
  formen: [Hypervisoren, Hypervisors]
  erklaerung: >-
    Die Software, die einen physischen Rechner in mehrere virtuelle Maschinen
    aufteilt. Typ 1 läuft direkt auf der Hardware (für Server), Typ 2 als
    Programm auf einem Betriebssystem (für Tests am Arbeitsplatz).
  siehe_auch: [virtuelle Maschine]
 - begriff: virtuelle Maschine
  steht_fuer: VM
  formen: [virtuellen Maschine, virtuelle Maschinen, virtuellen Maschinen, VM, VMs]
  erklaerung: >-
    Ein vollständiger Rechner mit eigenem Betriebssystem, der nicht auf eigener
    Hardware läuft, sondern sich die Ressourcen eines Hosts mit anderen VMs teilt.
  siehe_auch: [Hypervisor, Snapshot]
 - begriff: Snapshot
  formen: [Snapshots]
  erklaerung: >-
    Ein eingefrorener Zustand einer virtuellen Maschine, zu dem man zurückkehren
    kann. Gut als Rückweg für Stunden vor einer Änderung, aber keine
    Datensicherung – er liegt auf demselben Speicher und wird mit der Zeit groß
    und langsam.
  siehe_auch: [virtuelle Maschine, Vollsicherung]
 - begriff: Thin Provisioning
  erklaerung: >-
    Eine virtuelle Festplatte belegt nur den tatsächlich beschriebenen Platz und
    wächst bei Bedarf. Spart Speicher, kann ihn aber unbemerkt volllaufen lassen,
    wenn mehr zugesagt ist, als vorhanden ist.
 - begriff: Container
  erklaerung: >-
    Eine abgeschlossene Laufzeitumgebung für eine Anwendung, die sich den Kern
    des Host-Betriebssystems teilt. Leichter und schneller als eine virtuelle
    Maschine, aber weniger stark von anderen getrennt.
  siehe_auch: [virtuelle Maschine]
 # --- Woche 10: Verzeichnisdienst und Serverdienste -------------------------
 - begriff: Active Directory
  steht_fuer: AD
  erklaerung: >-
    Der Verzeichnisdienst von Microsoft. Er verwaltet Benutzer, Computer, Gruppen
    und Richtlinien einer Domäne zentral und prüft Anmeldungen.
  siehe_auch: [Domänencontroller, Organisationseinheit, Gruppenrichtlinie]
 - begriff: Domänencontroller
  formen: [Domänencontrollern, Domänencontrollers]
  erklaerung: >-
    Ein Server, der das Verzeichnis einer Domäne hält und Anmeldungen prüft. Man
    betreibt mindestens zwei, damit ein Ausfall niemanden aussperrt.
  siehe_auch: [Active Directory, DNS]
 - begriff: Organisationseinheit
  steht_fuer: OU (Organizational Unit)
  formen: [Organisationseinheiten, OU, OUs]
  erklaerung: >-
    Ein Ordner im Active Directory, der Konten und Computer ordnet. An
    Organisationseinheiten werden Gruppenrichtlinien verknüpft und
    Verwaltungsrechte delegiert – Berechtigungen auf Dateien vergibt man dagegen
    an Gruppen.
  siehe_auch: [Active Directory, Gruppenrichtlinie, AGDLP]
 - begriff: AGDLP
  erklaerung: >-
    Die Regel für Gruppen im Active Directory: Accounts in Global groups, Global
    groups in Domain Local groups, Permissions an die Domain Local groups. Die
    globale Gruppe beschreibt die Rolle, die domänenlokale das Recht.
  siehe_auch: [Prinzip der geringsten Rechte, NTFS-Berechtigung]
 - begriff: Gruppenrichtlinie
  steht_fuer: GPO (Group Policy Object)
  formen: [Gruppenrichtlinien, GPO, GPOs]
  erklaerung: >-
    Ein Bündel zentraler Einstellungen für Computer oder Benutzer, das an einen
    Standort, die Domäne oder eine Organisationseinheit verknüpft wird.
    Angewendet in der Reihenfolge lokal, Standort, Domäne, OU – was zuletzt
    kommt, gewinnt.
  siehe_auch: [Organisationseinheit, Active Directory]
 - begriff: Schattenkopie
  formen: [Schattenkopien]
  erklaerung: >-
    Eine Zeitpunktkopie eines Laufwerks auf dem Dateiserver, über die Benutzer
    frühere Fassungen einer Datei selbst zurückholen können. Liegt auf demselben
    Laufwerk und ersetzt deshalb keine Datensicherung.
  siehe_auch: [Vollsicherung]
 # --- Woche 11: Netze trennen und verbinden ---------------------------------
 - begriff: Trunk
  formen: [Trunks, Trunk-Port, Trunk-Ports]
  erklaerung: >-
    Eine Switchverbindung, die mehrere VLANs gleichzeitig überträgt und jeden
    Rahmen mit seiner VLAN-ID markiert (IEEE 802.1Q). Verbindet Switches
    untereinander und mit Routern, Firewalls und Access Points.
  siehe_auch: [VLAN, Switch]
 - begriff: Standardroute
  formen: [Standardrouten, Default-Route]
  erklaerung: >-
    Der Eintrag 0.0.0.0/0 in einer Routingtabelle. Er greift für alle Ziele, für
    die es keine genauere Route gibt – meist der Weg ins Internet.
  siehe_auch: [Router, Gateway]
 - begriff: 802.1X
  erklaerung: >-
    Ein Verfahren, bei dem sich Geräte oder Benutzer vor dem Zugang zum Netz
    anmelden müssen – im WLAN als WPA2/WPA3-Enterprise, auch an Switchports. Die
    Prüfung übernimmt meist ein RADIUS-Server.
  siehe_auch: [RADIUS]
 - begriff: RADIUS
  steht_fuer: Remote Authentication Dial-In User Service
  erklaerung: >-
    Ein Dienst, der Anmeldungen am Netz zentral prüft, etwa gegen die
    Benutzerkonten im Verzeichnisdienst. Wird für WLAN-Zugänge mit eigenen
    Zugangsdaten je Person gebraucht.
  siehe_auch: [802.1X]
 # --- Woche 12: Kundenauftrag -----------------------------------------------
 - begriff: Lastenheft
  formen: [Lastenhefts, Lastenhefte]
  erklaerung: >-
    Die Beschreibung des Auftraggebers, was er braucht und wofür. Die Grundlage,
    auf die der Auftragnehmer mit dem Pflichtenheft antwortet.
  siehe_auch: [Pflichtenheft]
 - begriff: Pflichtenheft
  formen: [Pflichtenhefts, Pflichtenhefte]
  erklaerung: >-
    Die Beschreibung des Auftragnehmers, wie und womit er die Anforderungen aus
    dem Lastenheft umsetzt – einschließlich der Kriterien, an denen bei der
    Abnahme geprüft wird.
  siehe_auch: [Lastenheft]
 - begriff: Bezugspreis
  formen: [Bezugspreise, Bezugskalkulation]
  erklaerung: >-
    Der Preis, den der Betrieb für eine Ware tatsächlich zahlt: Listenpreis minus
    Rabatt minus Skonto plus Bezugskosten wie Versand und Verpackung.
  siehe_auch: [Skonto]
 - begriff: Skonto
  erklaerung: >-
    Ein Preisnachlass für Zahlung innerhalb einer kurzen Frist, etwa 2 Prozent
    bei Zahlung binnen zehn Tagen. Wird vom Zieleinkaufspreis berechnet, also
    nach Abzug des Rabatts.
  siehe_auch: [Bezugspreis]
 - begriff: Werkvertrag
  formen: [Werkvertrags, Werkverträge]
  erklaerung: >-
    Ein Vertrag, bei dem ein Erfolg geschuldet wird, etwa ein funktionierendes
    Netzwerk. Bezahlt wird nach der Abnahme.
  siehe_auch: [Dienstvertrag, Gewährleistung]
 - begriff: Dienstvertrag
  formen: [Dienstvertrags, Dienstverträge]
  erklaerung: >-
    Ein Vertrag, bei dem eine Tätigkeit geschuldet wird, nicht ein Erfolg – etwa
    Support nach Stunden oder eine Schulung.
  siehe_auch: [Werkvertrag]
 - begriff: Gewährleistung
  formen: [Mängelhaftung]
  erklaerung: >-
    Die gesetzliche Haftung des Verkäufers für Mängel, die bei Übergabe vorhanden
    waren – bei neuen Sachen in der Regel zwei Jahre. Anders als die Garantie ist
    sie nicht freiwillig.
  siehe_auch: [Werkvertrag]
 - begriff: SLA
  steht_fuer: Service Level Agreement
  formen: [SLAs]
  erklaerung: >-
    Eine Vereinbarung über messbare Leistungswerte eines Dienstes, etwa
    Reaktionszeit, Wiederherstellungszeit und Verfügbarkeit. 99,9 Prozent
    Verfügbarkeit erlauben knapp neun Stunden Ausfall im Jahr.
  siehe_auch: [RTO]
 # --- Woche 13: Linux-Grundlagen --------------------------------------------
 - begriff: SSH
  steht_fuer: Secure Shell
  erklaerung: >-
    Ein verschlüsselter Fernzugang zur Kommandozeile eines Rechners, üblich für
    Linux-Server und Netzwerkgeräte. Sicher betrieben wird er mit Schlüsseln statt
    Passwörtern.
 - begriff: sudo
  erklaerung: >-
    Ein Befehl, mit dem ein berechtigter Benutzer unter Linux einen einzelnen
    Befehl mit Administratorrechten ausführt. Jeder Aufruf wird protokolliert.
 - begriff: systemd
  formen: [systemctl, journalctl]
  erklaerung: >-
    Der Dienst, der auf den meisten Linux-Systemen alle anderen Dienste startet und
    verwaltet. Mit systemctl steuert man Dienste, mit journalctl liest man ihre
    Protokolle.
 # --- Woche 14: Betrieb und Überwachung -------------------------------------
 - begriff: NTP
  steht_fuer: Network Time Protocol
  erklaerung: >-
    Das Verfahren, mit dem Rechner ihre Uhrzeit über das Netz abgleichen. Ohne
    übereinstimmende Uhren lassen sich Protokolle nicht vergleichen, und die
    Anmeldung im Active Directory scheitert.
  siehe_auch: [Kerberos]
 - begriff: Kerberos
  erklaerung: >-
    Das Anmeldeverfahren im Active Directory. Es arbeitet mit zeitlich begrenzten
    Tickets und lässt nur eine kleine Abweichung der Uhren zu, standardmäßig fünf
    Minuten.
  siehe_auch: [NTP, Active Directory]
 - begriff: Patchday
  erklaerung: >-
    Der feste Termin, an dem Microsoft Sicherheitsupdates veröffentlicht – der
    zweite Dienstag jedes Monats. Viele Betriebe richten ihren Update-Takt danach
    aus.
  siehe_auch: [End of Life]
 - begriff: End of Life
  formen: [End-of-Life, EOL]
  erklaerung: >-
    Der Zeitpunkt, ab dem ein Hersteller für ein Produkt keine Sicherheitsupdates
    mehr liefert. Neue Lücken bleiben danach offen, das Produkt muss ersetzt werden.
  siehe_auch: [Patchday]
 # --- Woche 15: Serviceanfragen ---------------------------------------------
 - begriff: ITIL
  erklaerung: >-
    Das verbreitetste Rahmenwerk für IT-Servicemanagement. Es beschreibt unter
    anderem, wie Störungen, Serviceanfragen, Probleme und Änderungen
    unterschieden und bearbeitet werden.
 - begriff: Serviceanfrage
  formen: [Serviceanfragen, Service Request]
  erklaerung: >-
    Die Bitte um eine vorgesehene Standardleistung, ohne dass etwas kaputt ist –
    etwa ein neues Konto, eine Software aus dem Katalog oder ein Zugriffsrecht.
  siehe_auch: [ITIL, Workaround]
 - begriff: Workaround
  formen: [Workarounds, Umgehungslösung]
  erklaerung: >-
    Eine Umgehung, mit der Nutzer weiterarbeiten können, obwohl die eigentliche
    Ursache einer Störung noch nicht beseitigt ist.
  siehe_auch: [ITIL]
 - begriff: Eskalation
  formen: [eskalieren, eskaliert]
  erklaerung: >-
    Die Weitergabe eines Tickets – funktional an eine Stelle mit mehr Fachwissen
    oder hierarchisch an die Führungsebene, wenn Fristen oder Entscheidungen es
    verlangen.
  siehe_auch: [SLA]
 # --- Woche 16: Vorbereitung auf Teil 1 -------------------------------------
 - begriff: Arbeitsstättenverordnung
  steht_fuer: ArbStättV
  formen: [ArbStättV]
  erklaerung: >-
    Die Verordnung, die Anforderungen an Arbeitsstätten festlegt. Ihr Anhang Nr. 6
    regelt die Bildschirmarbeitsplätze und hat 2016 die Bildschirmarbeitsverordnung
    abgelöst.
  siehe_auch: [Gefährdungsbeurteilung]
 - begriff: Gefährdungsbeurteilung
  formen: [Gefährdungsbeurteilungen]
  erklaerung: >-
    Die Pflicht des Arbeitgebers nach dem Arbeitsschutzgesetz, die Gefährdungen
    an jedem Arbeitsplatz zu ermitteln und Maßnahmen dagegen festzulegen – auch
    für Bildschirmarbeit.
  siehe_auch: [Arbeitsstättenverordnung]
 - begriff: DIN 66399
  erklaerung: >-
    Die Norm für die Vernichtung von Datenträgern. Sie unterscheidet drei
    Schutzklassen und sieben Sicherheitsstufen; für personenbezogene Daten wird in
    der Regel mindestens Stufe 3 angesetzt.
  siehe_auch: [ElektroG, personenbezogene Daten]
 - begriff: ElektroG
  steht_fuer: Elektro- und Elektronikgerätegesetz
  erklaerung: >-
    Das Gesetz, das Rücknahme und Verwertung von Elektrogeräten regelt. Alte
    Rechner, Bildschirme und Drucker gehören über Rücknahmestellen oder
    zertifizierte Entsorger in die Verwertung, nicht in den Restmüll.
  siehe_auch: [DIN 66399]
 - begriff: Pseudocode
  erklaerung: >-
    Die Beschreibung eines Ablaufs in strukturierter Umgangssprache mit festen
    Schlüsselwörtern wie WENN, SOLANGE und FÜR. Er ist an keine Programmiersprache
    gebunden.
  siehe_auch: [Struktogramm, Schreibtischtest]
 - begriff: Struktogramm
  formen: [Struktogramme, Nassi-Shneiderman-Diagramm]
  erklaerung: >-
    Die zeichnerische Darstellung eines Ablaufs als ineinander geschachtelte
    Kästen für Folge, Verzweigung und Schleife, nach Nassi und Shneiderman.
  siehe_auch: [Pseudocode]
 - begriff: Schreibtischtest
  formen: [Schreibtischtests]
  erklaerung: >-
    Das Durchspielen eines Algorithmus von Hand mit Beispielwerten, wobei nach jedem
    Schritt die Werte aller Variablen in einer Tabelle festgehalten werden.
  siehe_auch: [Pseudocode]
@@ -0,0 +1,65 @@
 ---
 id: A10
 titel: Störung, Anfrage, Problem, Änderung – vier Arten von Tickets
 block: arbeitsalltag
 woche: 15
 worum: Nicht jedes Ticket ist eine Störung. Wer Störung, Serviceanfrage, Problem und Änderung auseinanderhält, löst schneller und lernt aus Wiederholungen.
 rahmenplan: [A1, A5, A8]
 lernfeld: LF6
 merksatz: Die Störung wird behoben, das Problem wird gelöst. Jede Änderung wird geplant, freigegeben und hat einen Rückweg.
 karten:
  - frage: Was ist der Unterschied zwischen einer Störung (Incident) und einem Problem?
    antwort: Eine Störung ist eine einzelne ungeplante Unterbrechung oder Beeinträchtigung – Ziel ist, den Nutzer schnell wieder arbeiten zu lassen. Ein Problem ist die Ursache hinter einer oder mehreren Störungen – Ziel ist, sie dauerhaft zu beseitigen.
  - frage: Was ist eine Serviceanfrage (Service Request)?
    antwort: Eine Bitte um eine vorgesehene Standardleistung, ohne dass etwas kaputt ist – etwa ein neues Konto, eine Softwareinstallation aus dem Katalog oder ein zurückgesetztes Passwort.
  - frage: Was ist ein Workaround?
    antwort: Eine Umgehungslösung, mit der der Nutzer weiterarbeiten kann, obwohl die eigentliche Ursache noch nicht beseitigt ist – etwa ein anderer Drucker, solange der Treiberfehler besteht.
  - frage: Welche drei Arten von Änderungen unterscheidet man?
    antwort: Standardänderungen sind vorab genehmigt, risikoarm und laufen nach festem Ablauf. Normale Änderungen werden einzeln geprüft und freigegeben. Notfalländerungen sind eilig und werden mit verkürzter Freigabe umgesetzt und nachträglich dokumentiert.
 ---
 ## Das Wesentliche
 - **Störung (Incident):** Etwas funktioniert nicht oder schlechter als vorgesehen. Ziel ist,
  den Betrieb **schnell** wiederherzustellen – notfalls mit einem Workaround.
 - **Serviceanfrage (Service Request):** Nichts ist kaputt, jemand braucht eine vorgesehene
  Leistung: neues Konto, Software, Zugriff, Gerät. Solche Anfragen laufen nach festen Abläufen
  und lassen sich oft vorab genehmigen.
 - **Problem:** die Ursache hinter einer oder mehreren Störungen. Drei Tickets mit „Outlook hängt
  morgens" sind drei Störungen und vermutlich ein Problem. Ziel ist, die Ursache **dauerhaft**
  zu beseitigen.
 - **Bekannter Fehler (Known Error):** ein Problem mit bekannter Ursache und dokumentiertem
  Workaround, dessen endgültige Lösung noch aussteht. Gehört in die Wissensdatenbank.
 - **Änderung (Change):** alles, was an Systemen verändert wird. Jede Änderung hat ein Risiko –
  deshalb wird sie beschrieben, bewertet, freigegeben, angekündigt und hat einen Rückweg.
 - **Drei Arten von Änderungen:** Standard (vorab genehmigt, festgelegter Ablauf, etwa Arbeitsplatz
  einrichten), normal (einzeln prüfen und freigeben), Notfall (sofort, Freigabe verkürzt,
  Dokumentation danach).
 - **Die Störung schließt man, wenn der Nutzer wieder arbeiten kann** – nicht erst, wenn die
  Ursache gefunden ist. Die Ursache verfolgt man im Problem weiter.
 - **Begriffe nach ITIL**, dem verbreitetsten Rahmenwerk für IT-Servicemanagement. Man muss es
  nicht vollständig einführen, um von seinen Begriffen zu profitieren.
 ## Übersicht
 | Ticket | Art | Ziel |
 |---|---|---|
 | „Ich kann nicht drucken" | Störung | Nutzer wieder arbeitsfähig machen |
 | „Ich brauche Zugriff auf die Ablage Einkauf" | Serviceanfrage | Leistung nach festem Ablauf erbringen |
 | Zum fünften Mal diese Woche hängt der Druckserver | Problem | Ursache finden und beseitigen |
 | Druckserver bekommt neuen Treiber | Änderung | geplant, freigegeben, mit Rückweg umsetzen |
 ## Prüfungsfrage
 **Frage:** Im Laufe einer Woche gehen sieben Tickets ein, dass die Verbindung zum
 Warenwirtschaftssystem morgens zwischen 8 und 9 Uhr abbricht. Beschreiben Sie, wie Sie mit
 diesen Tickets umgehen.
 **Antwort:** Jedes Ticket ist zunächst eine Störung, die möglichst schnell behoben wird – etwa
 durch einen Neustart der Anwendung oder einen Workaround wie das Arbeiten über eine andere
 Verbindung. Weil sich die Störungen zur selben Zeit wiederholen, wird ein Problem angelegt und
 mit den sieben Störungen verknüpft. Im Problem wird die Ursache gesucht, z. B. ein zeitgesteuerter
 Vorgang wie eine Sicherung oder Anmeldespitzen am Morgen. Bis zur Lösung wird der Workaround als
 bekannter Fehler in der Wissensdatenbank dokumentiert, damit der Support weitere Meldungen
 schnell bedienen kann. Die endgültige Behebung – etwa die Verlegung der Sicherung – wird als
 Änderung geplant, freigegeben und umgesetzt; danach wird das Problem geschlossen.
@@ -0,0 +1,63 @@
 ---
 id: A11
 titel: Priorisieren und eskalieren – was zuerst, und wer übernimmt
 block: arbeitsalltag
 woche: 15
 worum: Wer immer das lauteste Ticket zuerst bearbeitet, lässt die wichtigen liegen. Die Priorität ergibt sich aus Auswirkung und Dringlichkeit – nicht aus der Lautstärke.
 rahmenplan: [A1, A2, A7]
 lernfeld: LF6
 merksatz: Priorität = Auswirkung × Dringlichkeit. Eskalieren ist keine Niederlage, sondern ein vereinbarter Weg.
 karten:
  - frage: Woraus ergibt sich die Priorität eines Tickets?
    antwort: Aus der Auswirkung (wie viele Nutzer, wie wichtige Abläufe sind betroffen) und der Dringlichkeit (wie schnell entsteht Schaden, gibt es eine Umgehung). Beides wird eingestuft und in einer Matrix zur Priorität verknüpft.
  - frage: Was ist der Unterschied zwischen funktionaler und hierarchischer Eskalation?
    antwort: Funktional wird ein Ticket an eine Stelle mit mehr Fachwissen weitergegeben, etwa vom ersten an den zweiten Level. Hierarchisch wird die Führungsebene einbezogen, etwa wenn eine Frist zu reißen droht oder Ressourcen fehlen.
  - frage: Was unterscheidet die Reaktionszeit von der Lösungszeit in einem SLA?
    antwort: Die Reaktionszeit ist die Zeit bis zur ersten qualifizierten Rückmeldung an den Nutzer, die Lösungszeit die Zeit bis zur Wiederherstellung des Betriebs.
 ---
 ## Das Wesentliche
 - **Auswirkung:** Wie viele sind betroffen, und wie wichtig ist, was nicht geht? Ein einzelner
  Nutzer ist gering, eine Abteilung mittel, der ganze Betrieb oder ein Kernprozess hoch.
 - **Dringlichkeit:** Wie schnell entsteht Schaden? Kann gar nicht gearbeitet werden, nur
  eingeschränkt, oder gibt es eine Umgehung?
 - **Priorität aus beidem**, nicht aus Gefühl, Lautstärke oder Rang des Anrufers. Der Drucker der
  Geschäftsführung ist eine Störung mit geringer Auswirkung; die Kasse im Lager, an der zwanzig
  Lieferungen hängen, nicht.
 - **Prioritäten dürfen sich ändern.** Kommt heraus, dass mehr Nutzer betroffen sind, wird
  hochgestuft – und das im Ticket vermerkt.
 - **Level:** Der erste Level nimmt an, erfasst, löst Bekanntes. Der zweite Level bearbeitet, was
  Fachwissen braucht. Der dritte Level sind Spezialisten oder der Hersteller.
 - **Funktional eskalieren**, wenn das eigene Wissen nicht reicht – rechtzeitig, mit vollständigem
  Ticket. **Hierarchisch eskalieren**, wenn eine Frist zu reißen droht oder Entscheidungen
  nötig sind, die man selbst nicht treffen darf.
 - **SLA:** Vereinbarte Reaktions- und Lösungszeiten je Priorität. Die Uhr läuft ab Eingang, nicht
  ab dem Moment, in dem man das Ticket öffnet.
 - **Den Nutzer informieren**, auch wenn es nichts Neues gibt. Ein Nutzer, der weiß, dass jemand
  dran ist, ruft nicht dreimal an.
 ## Übersicht
 | Auswirkung ↓ / Dringlichkeit → | hoch | mittel | gering |
 |---|---|---|---|
 | **hoch** | P1 kritisch | P2 hoch | P3 mittel |
 | **mittel** | P2 hoch | P3 mittel | P4 gering |
 | **gering** | P3 mittel | P4 gering | P4 gering |
 Beispiel für Zielzeiten: P1 Reaktion 15 Minuten, Lösung 4 Stunden · P2 1 Stunde / 1 Arbeitstag ·
 P3 4 Stunden / 3 Arbeitstage · P4 1 Arbeitstag / nach Absprache.
 ## Prüfungsfrage
 **Frage:** Gleichzeitig gehen drei Tickets ein: (a) Der Geschäftsführer kann an seinem zweiten
 Bildschirm nichts sehen. (b) Im Lager kann niemand Lieferscheine drucken, der LKW wartet.
 (c) Eine Mitarbeiterin bittet um Installation eines neuen PDF-Programms. Priorisieren Sie mit
 Begründung.
 **Antwort:** (b) zuerst – hohe Auswirkung, weil ein Kernprozess (Versand) für alle im Lager
 steht, und hohe Dringlichkeit, weil der wartende LKW unmittelbar Kosten verursacht: P1. (a) danach
 – geringe Auswirkung (ein Nutzer, ein Teil seines Arbeitsplatzes) und mittlere Dringlichkeit, weil
 er mit einem Bildschirm weiterarbeiten kann: P4, auch wenn der Melder ranghoch ist; eine kurze
 Rückmeldung mit Zeitangabe ist trotzdem angebracht. (c) ist keine Störung, sondern eine
 Serviceanfrage, die nach dem vorgesehenen Ablauf (Freigabe, Softwarekatalog) erledigt wird.
@@ -0,0 +1,61 @@
 ---
 id: A12
 titel: Wissen festhalten – ein Wissensartikel, der wirklich hilft
 block: arbeitsalltag
 woche: 15
 worum: Jede Störung, die zum zweiten Mal gelöst wird, hätte ein Wissensartikel beim ersten Mal verhindert. Gute Artikel sind kurz, auffindbar und aktuell.
 rahmenplan: [A5, C5, A1]
 lernfeld: LF6
 merksatz: Symptom so, wie der Nutzer es sagt. Ursache, Lösung in Schritten, Gültigkeit, Stand. Wer etwas zum zweiten Mal löst, schreibt es auf.
 karten:
  - frage: Welche Teile gehören in einen Wissensartikel?
    antwort: Das Symptom in den Worten des Nutzers samt Fehlermeldung, die Ursache, die Lösung in nummerierten Schritten, für welche Systeme und Versionen sie gilt, sowie Verfasser und Datum des letzten Stands.
  - frage: Warum formuliert man das Symptom in den Worten des Nutzers?
    antwort: Weil danach gesucht wird. Wer „Outlook fragt ständig nach dem Passwort" sucht, findet keinen Artikel mit dem Titel „Probleme mit der modernen Authentifizierung".
 ---
 ## Das Wesentliche
 - **Wann schreiben?** Wer eine Lösung zum zweiten Mal braucht, schreibt sie auf. Bei jeder
  Störung mit unklarer Ursache, sobald sie gefunden ist.
 - **Titel = Symptom.** So, wie der Nutzer es am Telefon sagt, mit der Fehlermeldung im Wortlaut.
  Danach wird gesucht.
 - **Aufbau:** Symptom, betroffene Systeme und Versionen, Ursache, Lösung in nummerierten Schritten,
  ggf. Workaround, Verfasser und Datum.
 - **Eine Lösung, ein Artikel.** Ein Artikel „Alles zu Outlook" findet niemand und pflegt niemand.
 - **Für wen?** Artikel für den Support dürfen Fachbegriffe und Befehle enthalten. Artikel für
  Nutzer brauchen Bildschirmfotos und einfache Sprache.
 - **Keine Zugangsdaten** in Wissensartikeln. Ein Verweis auf den Eintrag im Passwortmanager genügt.
 - **Mit Tickets verknüpfen:** Im Ticket auf den Artikel verweisen, im Artikel auf Beispieltickets.
  So sieht man, wie oft er gebraucht wird.
 - **Pflegen:** Ein Artikel mit veralteter Lösung ist schlimmer als keiner. Wer einen Artikel nutzt
  und ihn falsch findet, korrigiert ihn sofort oder meldet es.
 ## Übersicht
 ```
 Titel:     Outlook fragt nach jedem Start erneut nach dem Passwort
 Gilt für:  Outlook (Microsoft 365) unter Windows 11
 Symptom:   Anmeldefenster erscheint bei jedem Start, Passwort wird nicht gespeichert
 Ursache:   Beschädigter Eintrag in der Windows-Anmeldeinformationsverwaltung
 Lösung:    1. Outlook schließen
           2. Systemsteuerung → Anmeldeinformationsverwaltung → Windows-Anmeldeinformationen
           3. Alle Einträge mit „MicrosoftOffice" entfernen
           4. Outlook starten und einmal anmelden
 Prüfen:    Outlook schließen und erneut starten – keine Abfrage mehr
 Stand:     2026-10-05, Ausbildung IT
 Tickets:   #4711, #4733
 ```
 ## Prüfungsfrage
 **Frage:** Ihr Team beantwortet dieselben Fragen immer wieder neu, obwohl es ein Wiki gibt.
 Nennen Sie drei mögliche Ursachen und je eine Maßnahme.
 **Antwort:** (1) Die Artikel sind nicht auffindbar, weil die Titel technisch statt nach Symptom
 formuliert sind – Titel nach den Worten der Nutzer und mit Fehlermeldung formulieren. (2) Die
 Artikel sind veraltet, deshalb traut ihnen niemand – Datum und Verantwortlichen angeben und
 beim Gebrauch prüfen und korrigieren. (3) Schreiben gehört nicht zum Ablauf – festlegen, dass beim
 Schließen eines Tickets mit neuer Lösung ein Artikel angelegt oder verknüpft wird. Ebenfalls
 richtig: zu lange Sammelartikel aufteilen, Artikel mit Tickets verknüpfen, Suche im Ticketsystem
 statt in einem getrennten Wiki.
@@ -0,0 +1,63 @@
 ---
 id: A7
 titel: Anforderungen aufnehmen – Lastenheft und Pflichtenheft
 block: arbeitsalltag
 woche: 12
 worum: Die meisten Projekte scheitern nicht an der Technik, sondern daran, dass Auftraggeber und IT unter derselben Anforderung etwas anderes verstanden haben.
 rahmenplan: [A2, A1, B1]
 lernfeld: LF2
 merksatz: Das Lastenheft sagt, was und wofür – vom Kunden. Das Pflichtenheft sagt, wie und womit – von der IT. Beides wird unterschrieben.
 karten:
  - frage: Was ist der Unterschied zwischen Lastenheft und Pflichtenheft?
    antwort: Das Lastenheft beschreibt der Auftraggeber – was er braucht und wofür. Das Pflichtenheft schreibt der Auftragnehmer – wie und womit er diese Anforderungen umsetzt. Das Pflichtenheft ist die Antwort auf das Lastenheft.
  - frage: Woran erkennt man eine gut formulierte Anforderung?
    antwort: Sie ist eindeutig, überprüfbar und begründet. „Das Notebook soll schnell sein" ist keine Anforderung; „Das Notebook startet die Warenwirtschaft in unter zehn Sekunden" schon.
  - frage: Was unterscheidet Muss-, Soll- und Kann-Anforderungen?
    antwort: Muss-Anforderungen sind unverzichtbar, ohne sie ist die Lösung unbrauchbar. Soll-Anforderungen sind wichtig, aber verhandelbar. Kann-Anforderungen sind wünschenswert, wenn Zeit und Budget es hergeben.
 ---
 ## Das Wesentliche
 - **Erst verstehen, dann anbieten.** Im ersten Gespräch geht es nicht um Geräte, sondern um
  die Arbeit: Was soll damit getan werden, von wem, wo, wie lange, mit welchen anderen
  Systemen?
 - **Offene Fragen stellen:** „Wie läuft ein typischer Arbeitstag ab?" statt „Brauchen Sie
  16 GB?". Wer nach Technik fragt, bekommt die Technik genannt, die der Kunde kennt.
 - **Das Lastenheft** kommt vom Auftraggeber: Ausgangslage, Ziel, Anforderungen,
  Rahmenbedingungen (Budget, Termin, Vorgaben). In kleinen Aufträgen schreibt es oft die IT
  mit – dann lässt man es vom Kunden bestätigen.
 - **Das Pflichtenheft** kommt vom Auftragnehmer: wie die Anforderungen umgesetzt werden, mit
  welcher Hard- und Software, in welchen Schritten, mit welchem Ergebnis.
 - **Anforderungen müssen prüfbar sein.** Jede Anforderung sollte man am Ende mit Ja oder
  Nein abhaken können. Was sich nicht prüfen lässt, führt bei der Abnahme zum Streit.
 - **Muss, Soll, Kann** unterscheiden. Damit lässt sich verhandeln, wenn Budget oder Termin
  nicht reichen, ohne dass das Wesentliche wegfällt.
 - **Nicht-funktionale Anforderungen** nicht vergessen: Verfügbarkeit, Datenschutz,
  Lautstärke, Ergonomie, Barrierefreiheit, Supportzeiten.
 - **Schriftlich bestätigen lassen.** Eine mündliche Absprache ist nach drei Wochen eine
  Erinnerung – nach drei Monaten eine Meinung.
 ## Übersicht
 | Unklar | Prüfbar |
 |---|---|
 | Der Rechner soll schnell sein | Die CAD-Anwendung öffnet die Baugruppe X in unter 15 Sekunden |
 | Ausreichend Speicher | 512 GB SSD, davon mindestens 300 GB frei nach Einrichtung |
 | Leise | Unter 30 dB(A) im Leerlauf in 1 m Abstand |
 | Gute Akkulaufzeit | 8 Stunden Arbeit mit Office und Videokonferenz ohne Steckdose |
 | Sicher | Festplattenverschlüsselung, zweiter Faktor, Updates zentral verwaltet |
 ## Prüfungsfrage
 **Frage:** Die Vertriebsleitung wünscht „neue, moderne Notebooks für den Außendienst".
 Welche Fragen stellen Sie, bevor Sie ein Angebot einholen? Nennen Sie fünf und begründen
 Sie zwei davon.
 **Antwort:** Fünf aus: (1) Welche Anwendungen werden unterwegs genutzt, auch ohne
 Internetverbindung? (2) Wie lange wird ohne Steckdose gearbeitet? (3) Wie oft und wie
 werden die Geräte transportiert – Robustheit, Gewicht? (4) Werden Videokonferenzen geführt –
 Kamera, Mikrofon, Mobilfunkmodul? (5) Welche Anschlüsse und Peripherie werden beim Kunden
 oder im Büro gebraucht? (6) Wie hoch ist das Budget, und bis wann werden die Geräte gebraucht?
 (7) Welche Daten werden gespeichert – Verschlüsselung, Datenschutz? Begründungen etwa:
 Die Akkulaufzeit bestimmt die Geräteklasse und schließt viele Modelle von vornherein aus.
 Der Termin entscheidet, ob nur sofort lieferbare Geräte infrage kommen.
@@ -0,0 +1,65 @@
 ---
 id: A8
 titel: Angebote einholen und rechnen – vom Listenpreis zum Bezugspreis
 block: arbeitsalltag
 woche: 12
 worum: Der niedrigste Listenpreis ist nicht das günstigste Angebot. Erst Rabatt, Skonto und Bezugskosten ergeben den Preis, den der Betrieb tatsächlich zahlt.
 rahmenplan: [A3, A2, A7]
 lernfeld: LF2
 merksatz: Listenpreis minus Rabatt minus Skonto plus Bezugskosten. Netto vergleichen, Bedingungen gleich machen.
 karten:
  - frage: Wie lautet das Schema der Bezugskalkulation?
    antwort: Listeneinkaufspreis minus Liefererrabatt ergibt den Zieleinkaufspreis, minus Liefererskonto den Bareinkaufspreis, plus Bezugskosten den Bezugspreis.
  - frage: Ist ein Angebot verbindlich, eine Anfrage aber nicht?
    antwort: Ja. Eine Anfrage verpflichtet zu nichts. Ein Angebot bindet den Anbieter, es sei denn, er schränkt es ausdrücklich ein, etwa mit „freibleibend" oder „solange Vorrat reicht". Nimmt der Kunde es rechtzeitig an, ist der Vertrag geschlossen.
  - frage: Warum vergleicht man Angebote für den Betrieb netto, also ohne Umsatzsteuer?
    antwort: Weil ein vorsteuerabzugsberechtigter Betrieb die Umsatzsteuer vom Finanzamt zurückbekommt. Seine tatsächlichen Kosten sind die Nettopreise.
 ---
 ## Das Wesentliche
 - **Mindestens drei Angebote** einholen, mit **derselben Anfrage**: gleiche Menge, gleiche
  Anforderungen, gleicher Liefertermin. Sonst vergleicht man Äpfel mit Birnen.
 - **Anfrage, Angebot, Bestellung:** Die Anfrage ist unverbindlich. Das Angebot bindet den
  Anbieter, außer es ist ausdrücklich eingeschränkt. Die rechtzeitige Bestellung auf ein
  Angebot ist die Annahme – damit ist der Kaufvertrag geschlossen.
 - **Die Bezugskalkulation** macht Angebote vergleichbar:
  Listeneinkaufspreis − **Rabatt** = Zieleinkaufspreis − **Skonto** = Bareinkaufspreis +
  **Bezugskosten** (Versand, Verpackung, Zoll) = **Bezugspreis**.
 - **Rabatt** ist ein Preisnachlass, etwa für Menge oder Stammkunden. **Skonto** ist ein Nachlass
  für schnelle Zahlung innerhalb einer Frist – er zählt nur, wenn die Buchhaltung die Frist
  auch einhält.
 - **Netto vergleichen.** Der Betrieb kann die Umsatzsteuer als Vorsteuer abziehen; seine
  Kosten sind die Nettobeträge.
 - **Der Preis ist nicht alles.** Lieferzeit, Garantie, Service vor Ort, Verfügbarkeit von
  Ersatzteilen gehören in eine Nutzwertanalyse (Handout H3). Die Bezugskalkulation liefert
  dafür das Kriterium Preis.
 - **Nachfragen ist erlaubt.** Wer zwei gute Angebote hat, kann beide Anbieter um ihr bestes
  Angebot bitten. Das ist üblich und kein schlechter Stil.
 ## Übersicht
 Fünf gleiche Arbeitsplatzrechner, Preise netto:
 | | Angebot A | Angebot B | Angebot C |
 |---|---|---|---|
 | Listeneinkaufspreis (5 × Stückpreis) | 4.495,00 € | 4.245,00 € | 4.395,00 € |
 | − Rabatt | 10 % = 449,50 € | – | 5 % = 219,75 € |
 | = Zieleinkaufspreis | 4.045,50 € | 4.245,00 € | 4.175,25 € |
 | − Skonto | 2 % = 80,91 € | 3 % = 127,35 € | – |
 | = Bareinkaufspreis | 3.964,59 € | 4.117,65 € | 4.175,25 € |
 | + Bezugskosten | 25,00 € | – | 40,00 € |
 | **= Bezugspreis** | **3.989,59 €** | **4.117,65 €** | **4.215,25 €** |
 Angebot B hat den niedrigsten Stückpreis, Angebot A den niedrigsten Bezugspreis.
 ## Prüfungsfrage
 **Frage:** Ein Händler bietet einen Switch zum Listenpreis von 1.200,00 € netto an, gewährt
 15 % Rabatt und 2 % Skonto bei Zahlung innerhalb von zehn Tagen; der Versand kostet 18,00 €.
 Berechnen Sie den Bezugspreis.
 **Antwort:** Listeneinkaufspreis 1.200,00 € − 15 % Rabatt (180,00 €) = Zieleinkaufspreis
 1.020,00 € − 2 % Skonto (20,40 €) = Bareinkaufspreis 999,60 € + Bezugskosten 18,00 € =
 **Bezugspreis 1.017,60 €** netto. Der Skonto wird vom Zieleinkaufspreis berechnet, nicht vom
 Listenpreis, und nur dann abgezogen, wenn innerhalb der Frist gezahlt wird.
@@ -0,0 +1,67 @@
 ---
 id: A9
 titel: Vertrag, Abnahme und Gewährleistung
 block: arbeitsalltag
 woche: 12
 worum: Ob eine Leistung als Kauf, Werk oder Dienst vereinbart ist, entscheidet, was geschuldet ist, wann bezahlt wird und was passiert, wenn etwas nicht funktioniert.
 rahmenplan: [A7, A2, C1]
 lernfeld: LF6
 merksatz: Kauf schuldet die Sache, Werk den Erfolg, Dienst die Tätigkeit. Ohne Abnahme kein Werk erledigt.
 karten:
  - frage: Was unterscheidet einen Werkvertrag von einem Dienstvertrag?
    antwort: Beim Werkvertrag wird ein Erfolg geschuldet, etwa ein funktionierendes Netzwerk; bezahlt wird nach der Abnahme. Beim Dienstvertrag wird eine Tätigkeit geschuldet, etwa Support nach Stunden – auch wenn das Problem am Ende nicht gelöst ist.
  - frage: Was ist der Unterschied zwischen Gewährleistung und Garantie?
    antwort: Die Gewährleistung ist gesetzlich vorgeschrieben – der Verkäufer haftet für Mängel, die bei Übergabe vorhanden waren, bei neuen Sachen in der Regel zwei Jahre. Die Garantie ist ein freiwilliges Versprechen des Herstellers oder Händlers mit selbst festgelegten Bedingungen.
  - frage: Welche Bedeutung hat die Abnahme bei einem Werkvertrag?
    antwort: Mit der Abnahme bestätigt der Auftraggeber, dass das Werk im Wesentlichen vertragsgemäß ist. Ab dann wird die Vergütung fällig, die Frist für Mängelansprüche beginnt, und die Gefahr geht auf den Auftraggeber über.
  - frage: Wie viele Stunden Ausfall im Jahr erlaubt eine vereinbarte Verfügbarkeit von 99,9 Prozent?
    antwort: Rund 8,8 Stunden – 0,1 Prozent von 8.760 Stunden im Jahr. Auf einen Monat gerechnet sind das etwa 43 Minuten.
 ---
 ## Das Wesentliche
 - **Kaufvertrag:** Der Verkäufer schuldet eine mangelfreie Sache und das Eigentum daran, der
  Käufer den Preis. Typisch: Hardware, Lizenzen.
 - **Werkvertrag:** Der Auftragnehmer schuldet einen **Erfolg** – ein eingerichtetes Netzwerk,
  eine migrierte Datenbank. Bezahlt wird nach der **Abnahme**.
 - **Dienstvertrag:** Geschuldet ist die **Tätigkeit**, nicht der Erfolg – Support nach
  Stunden, Beratung, Schulung.
 - **Die Abnahme** hat Folgen: Die Vergütung wird fällig, die Frist für Mängelansprüche beginnt
  zu laufen, und das Risiko geht auf den Auftraggeber über. Deshalb mit Protokoll, Datum,
  Unterschrift und einer Liste der Restmängel.
 - **Gewährleistung** ist gesetzlich: Der Verkäufer haftet für Mängel, die bei Übergabe schon
  bestanden. Zuerst hat er das Recht nachzubessern oder neu zu liefern. Erst wenn das
  scheitert, kommen Rücktritt, Minderung oder Schadensersatz infrage.
 - **Garantie** ist freiwillig und gilt zusätzlich, zu den Bedingungen des Garantiegebers.
 - **Unter Kaufleuten** gilt die Rügepflicht: Ware unverzüglich nach Lieferung prüfen und
  Mängel sofort melden. Wer den Karton drei Wochen ungeöffnet stehen lässt, kann offensichtliche
  Mängel danach unter Umständen nicht mehr geltend machen.
 - **Wartungsverträge und SLAs** legen Reaktionszeiten, Wiederherstellungszeiten und
  Verfügbarkeit fest. 99,9 Prozent Verfügbarkeit klingen nach „immer" – und erlauben knapp
  neun Stunden Ausfall im Jahr.
 ## Übersicht
 | Vertragsart | Geschuldet | Beispiel aus der IT | Bezahlt wird |
 |---|---|---|---|
 | Kaufvertrag | Sache und Eigentum | Zehn Notebooks | bei Lieferung bzw. nach Rechnung |
 | Werkvertrag | Erfolg | Netzwerk einrichten, Server migrieren | nach der Abnahme |
 | Dienstvertrag | Tätigkeit | Support nach Stunden, Schulung | nach Aufwand |
 | Mietvertrag / Leasing | Gebrauch auf Zeit | Drucker mit Wartung, Leasing-Notebooks | laufend |
 ## Prüfungsfrage
 **Frage:** Ihr Betrieb hat für einen Kunden ein WLAN eingerichtet. Bei der Abnahme stellt der
 Kunde fest, dass im Besprechungsraum der Empfang schwach ist; alles andere funktioniert.
 Wie gehen Sie vor, und welche Folgen hat die Abnahme?
 **Antwort:** Die Einrichtung ist ein Werkvertrag; der Kunde schuldet die Abnahme, wenn das
 Werk im Wesentlichen vertragsgemäß ist, und kann sie wegen unwesentlicher Mängel nicht
 verweigern. Vorgehen: Den Mangel im Abnahmeprotokoll festhalten, mit Beschreibung und einer
 Frist zur Behebung, etwa durch einen zusätzlichen Access Point oder eine Anpassung der
 Kanäle. Beide Seiten unterschreiben das Protokoll mit dem Vorbehalt dieses Mangels. Folgen
 der Abnahme: Die Vergütung wird fällig (ein Teil kann bis zur Behebung zurückgehalten
 werden), die Verjährungsfrist für Mängelansprüche beginnt, und die Gefahr geht auf den
 Kunden über. War vertraglich eine bestimmte Abdeckung im Besprechungsraum vereinbart,
 handelt es sich nicht um einen unwesentlichen Mangel – dann kann der Kunde die Abnahme
 verweigern. Deshalb gehören prüfbare Anforderungen ins Pflichtenheft.
@@ -0,0 +1,64 @@
 ---
 id: H4
 titel: Ergonomie am Bildschirmarbeitsplatz
 block: hardware
 woche: 16
 worum: Wer einen Arbeitsplatz einrichtet, richtet ihn für acht Stunden am Tag und viele Jahre ein. Nacken, Augen und Handgelenke merken jeden Zentimeter, den der Bildschirm falsch steht.
 rahmenplan: [C3, A2, A7]
 lernfeld: LF2
 merksatz: Oberkante auf Augenhöhe, eine Armlänge Abstand, seitlich zum Fenster. Füße flach, Arme im rechten Winkel. Und zwischendurch aufstehen.
 karten:
  - frage: Wie wird ein Bildschirm richtig aufgestellt?
    antwort: Die oberste Zeile liegt auf oder leicht unter Augenhöhe, der Abstand beträgt etwa eine Armlänge (rund 50 bis 70 cm), und die Blickrichtung verläuft parallel zum Fenster, damit weder Spiegelungen noch Blendung entstehen.
  - frage: Welche Vorschrift regelt die Anforderungen an Bildschirmarbeitsplätze?
    antwort: Die Arbeitsstättenverordnung (ArbStättV), Anhang Nr. 6. Sie hat 2016 die frühere Bildschirmarbeitsverordnung abgelöst. Der Arbeitgeber muss die Gefährdungen in einer Gefährdungsbeurteilung ermitteln.
  - frage: Was muss der Arbeitgeber Beschäftigten an Bildschirmarbeitsplätzen zur Augenvorsorge anbieten?
    antwort: Eine arbeitsmedizinische Angebotsvorsorge mit Untersuchung der Augen und des Sehvermögens. Ergibt sie, dass eine spezielle Sehhilfe für die Bildschirmarbeit nötig ist, muss der Arbeitgeber sie bezahlen.
 ---
 ## Das Wesentliche
 - **Bildschirm:** Oberste Zeile auf oder knapp unter Augenhöhe, sodass der Blick leicht nach
  unten geht. Abstand etwa eine Armlänge. Zwei Bildschirme gleich hoch, der Hauptbildschirm
  direkt vor dem Körper.
 - **Licht:** Blickrichtung parallel zum Fenster, nicht davor und nicht mit dem Rücken dazu.
  Keine Lampe, die sich im Bildschirm spiegelt. Für Büroarbeit sind 500 Lux am Arbeitsplatz
  vorgesehen.
 - **Stuhl:** Füße flach auf dem Boden, Oberschenkel etwa waagerecht, Rückenlehne stützt den
  unteren Rücken. Die Armlehnen so hoch, dass die Schultern locker bleiben.
 - **Tisch:** Unterarme liegen bei entspannten Schultern etwa waagerecht auf, die Ellbogen im
  rechten Winkel. Höhenverstellbare Tische erlauben den Wechsel zwischen Sitzen und Stehen.
 - **Tastatur und Maus:** Vor dem Körper, etwa eine Handbreite Platz zur Tischkante. Die Maus
  direkt neben der Tastatur, nicht am ausgestreckten Arm.
 - **Notebooks** sind für Unterwegs. Wer täglich stundenlang daran arbeitet, braucht
  Dockingstation, externen Bildschirm, Tastatur und Maus – sonst ist der Blick dauerhaft zu tief.
 - **Bewegung:** Bildschirmarbeit wird durch andere Tätigkeiten oder Pausen unterbrochen. Kein
  Stuhl gleicht acht Stunden Stillsitzen aus.
 - **Rechtlicher Rahmen:** Arbeitsstättenverordnung, Anhang Nr. 6. Der Arbeitgeber ermittelt die
  Belastungen in der Gefährdungsbeurteilung und bietet arbeitsmedizinische Vorsorge für die
  Augen an.
 ## Übersicht
 | Beschwerde | Wahrscheinliche Ursache | Abhilfe |
 |---|---|---|
 | Nackenschmerzen | Bildschirm zu hoch, zu tief oder seitlich versetzt | Höhe und Position anpassen, Hauptbildschirm mittig |
 | Brennende, müde Augen | Spiegelungen, Blendung, zu kleine Schrift | Bildschirm drehen, Licht ändern, Skalierung erhöhen |
 | Verspannte Schultern | Tisch zu hoch, Armlehnen falsch | Stuhl und Armlehnen nachstellen, Tischhöhe anpassen |
 | Schmerzen im Handgelenk | abgeknickte Hand, Maus zu weit weg | Maus heran, Handballen auflegen, ggf. vertikale Maus |
 | Rückenschmerzen | Rückenlehne nicht genutzt, zu langes Sitzen | Lehne einstellen, Steh-Phasen, Bewegungspausen |
 ## Prüfungsfrage
 **Frage:** Eine Mitarbeiterin klagt über Nackenschmerzen und brennende Augen. Ihr Bildschirm
 steht seitlich neben dem Notebook, mit dem Fenster im Rücken. Nennen Sie vier Maßnahmen und
 begründen Sie zwei davon.
 **Antwort:** (1) Den Bildschirm direkt vor die Mitarbeiterin stellen, damit sie den Kopf nicht
 dauerhaft dreht – Ursache der Nackenschmerzen. (2) Die Höhe so einstellen, dass die oberste Zeile
 auf oder leicht unter Augenhöhe liegt. (3) Den Arbeitsplatz so drehen, dass die Blickrichtung
 parallel zum Fenster verläuft – mit dem Fenster im Rücken spiegelt es sich im Bildschirm, und
 die Augen ermüden. (4) Notebook mit Dockingstation, externer Tastatur und Maus betreiben, statt auf
 den Notebook-Bildschirm zu schauen. (5) Schriftgröße bzw. Skalierung erhöhen. (6) Auf die
 Angebotsvorsorge für die Augen hinweisen; ggf. ist eine Bildschirmarbeitsbrille nötig, die der
 Arbeitgeber bezahlt.
@@ -0,0 +1,60 @@
 ---
 id: H5
 titel: Energie rechnen und nachhaltig beschaffen
 block: hardware
 woche: 16
 worum: Ein Rechner, der nachts läuft, kostet Geld und Strom, ohne dass jemand etwas davon hat. Wer den Verbrauch rechnen kann, kann Entscheidungen begründen – auch beim Kauf und bei der Entsorgung.
 rahmenplan: [C4, A3, A6]
 lernfeld: LF2
 merksatz: Leistung in kW mal Stunden mal Preis je kWh. Länger nutzen schlägt sparsamer kaufen. Daten vernichten, bevor das Gerät den Betrieb verlässt.
 karten:
  - frage: Wie berechnet man die Stromkosten eines Geräts?
    antwort: Leistung in Kilowatt mal Betriebsstunden ergibt die Energie in Kilowattstunden, mal Preis je kWh ergibt die Kosten. Ein Server mit 150 W, der das ganze Jahr läuft – 0,15 kW × 8.760 h = 1.314 kWh, bei 0,30 € je kWh also 394,20 €.
  - frage: Welche Norm regelt die Vernichtung von Datenträgern, und welche Sicherheitsstufe ist für personenbezogene Daten üblich?
    antwort: DIN 66399. Sie kennt drei Schutzklassen und sieben Sicherheitsstufen. Für personenbezogene Daten wird in der Regel mindestens Sicherheitsstufe 3 angesetzt, für besonders schützenswerte Daten wie Gesundheitsdaten höher.
  - frage: Warum ist eine längere Nutzung oft nachhaltiger als ein sparsameres neues Gerät?
    antwort: Weil ein großer Teil der Umweltbelastung eines Rechners bei der Herstellung entsteht, nicht im Betrieb. Ein Gerät ein, zwei Jahre länger zu nutzen, spart meist mehr als der geringere Verbrauch eines neuen.
 ---
 ## Das Wesentliche
 - **Die Formel:** Leistung (kW) × Zeit (h) = Energie (kWh). Energie × Preis je kWh = Kosten.
  Watt erst durch 1.000 teilen, sonst stimmt die Kommastelle nicht.
 - **Die Stunden richtig zählen:** Ein Arbeitsplatz läuft etwa 8 Stunden an 220 Arbeitstagen,
  ein Server 24 Stunden an 365 Tagen, also 8.760 Stunden.
 - **Leerlauf kostet am meisten**, weil er die meisten Stunden hat. Ruhezustand und
  Energiesparpläne per Gruppenrichtlinie, Abschalten über Nacht, Drucker mit Ruhemodus.
 - **Beim Kauf:** Verbrauch im Leerlauf und unter Last vergleichen, Energielabel bei Bildschirmen,
  Siegel wie TCO Certified, Blauer Engel, EPEAT oder ENERGY STAR. Netzteile mit hohem
  Wirkungsgrad (80 PLUS).
 - **Länger nutzen:** Ein großer Teil der Umweltbelastung entsteht bei der Herstellung. Aufrüsten
  (SSD, Arbeitsspeicher), Reparieren und Weitergeben sind oft nachhaltiger als ein neues Gerät.
  Aufbereitete Geräte (refurbished) sind für viele Arbeitsplätze eine gute Wahl.
 - **Entsorgen:** Elektrogeräte gehören nicht in den Restmüll. Nach dem Elektro- und
  Elektronikgerätegesetz (ElektroG) gehen sie über Rücknahmestellen oder zertifizierte
  Entsorger zurück in die Verwertung.
 - **Vorher die Daten:** Datenträger werden vor der Abgabe nachweisbar gelöscht oder vernichtet –
  nach DIN 66399, mit Protokoll. Ein formatierter Datenträger ist nicht gelöscht.
 ## Übersicht
 | Gerät | Leistung | Stunden im Jahr | kWh | Kosten bei 0,30 €/kWh |
 |---|---|---|---|---|
 | Arbeitsplatzrechner, 8 h an 220 Tagen | 45 W | 1.760 | 79,2 | 23,76 € |
 | Server, durchgehend | 150 W | 8.760 | 1.314 | 394,20 € |
 | Rechner, der außerhalb der Arbeitszeit im Leerlauf läuft | 30 W | 7.000 | 210 | 63,00 € |
 Bei 100 Rechnern, die nachts und am Wochenende nicht ausgeschaltet werden, sind das allein für
 den Leerlauf 6.300 € im Jahr.
 ## Prüfungsfrage
 **Frage:** In einem Betrieb laufen 60 Arbeitsplatzrechner rund um die Uhr. Im Leerlauf nimmt jeder
 35 W auf. Wie viel ließe sich im Jahr sparen, wenn die Rechner außerhalb der Arbeitszeit
 (8 Stunden an 220 Tagen) ausgeschaltet würden? Strompreis 0,30 € je kWh.
 **Antwort:** Stunden außerhalb der Arbeitszeit: 8.760 h − (8 h × 220) = 8.760 h − 1.760 h =
 7.000 h. Energie je Rechner: 0,035 kW × 7.000 h = 245 kWh. Für 60 Rechner: 245 kWh × 60 =
 14.700 kWh. Ersparnis: 14.700 kWh × 0,30 €/kWh = **4.410 €** im Jahr. Hinzu kommt, dass
 ausgeschaltete Rechner nachts nicht angegriffen werden können; Updates lassen sich mit
 Wake-on-LAN trotzdem außerhalb der Arbeitszeit einspielen.
@@ -0,0 +1,64 @@
 ---
 id: N5
 titel: VLANs und Trunks – ein Switch, mehrere Netze
 block: netzwerk
 woche: 11
 worum: Mit VLANs trennt man Netze, ohne neue Kabel zu ziehen. Der Preis ist, dass man an jedem Port wissen muss, welches Netz dort ankommt.
 rahmenplan: [B2, A6]
 lernfeld: LF9
 merksatz: Access-Port – ein VLAN, ohne Markierung. Trunk – viele VLANs, markiert. Und jedes VLAN hat sein eigenes Subnetz.
 karten:
  - frage: Was ist der Unterschied zwischen einem Access-Port und einem Trunk-Port?
    antwort: Ein Access-Port gehört zu genau einem VLAN und überträgt dessen Rahmen ohne Markierung – dort hängen Endgeräte. Ein Trunk-Port überträgt mehrere VLANs und markiert jeden Rahmen mit seiner VLAN-ID nach IEEE 802.1Q – damit verbindet man Switches, Router und Access Points.
  - frage: Welche VLAN-IDs sind nutzbar, und warum meidet man VLAN 1?
    antwort: Die IDs 1 bis 4094. VLAN 1 ist auf allen Ports ab Werk eingestellt und wird von vielen Geräten für Verwaltungsverkehr genutzt – wer es für Benutzer verwendet, landet schnell mit allem im selben Netz.
  - frage: Warum braucht jedes VLAN ein eigenes Subnetz?
    antwort: Weil die VLANs auf Schicht 2 getrennt sind und Verkehr zwischen ihnen über einen Router laufen muss. Der Router kann nur zwischen verschiedenen IP-Netzen vermitteln, und jedes VLAN braucht seine eigene Gateway-Adresse.
 ---
 ## Das Wesentliche
 - **Ein VLAN ist ein eigenes Netz auf Schicht 2.** Geräte in verschiedenen VLANs sehen sich
  nicht, auch wenn sie am selben Switch hängen. Broadcasts bleiben im eigenen VLAN.
 - **Wozu trennen?** Sicherheit (Gäste, Produktion und Verwaltung kommen nicht aneinander),
  Ordnung (Drucker, Telefone, Server je für sich), Begrenzung der Broadcasts.
 - **Access-Port:** genau ein VLAN, Rahmen ohne Markierung. Das Endgerät merkt von VLANs nichts.
 - **Trunk-Port:** mehrere VLANs über ein Kabel, jeder Rahmen trägt eine Markierung nach
  **IEEE 802.1Q** mit der VLAN-ID. Zwischen Switches, zum Router oder zur Firewall und zu
  Access Points mit mehreren Funknetzen.
 - **Natives VLAN:** Das eine VLAN, dessen Rahmen auf einem Trunk unmarkiert laufen. Muss an
  beiden Enden gleich eingestellt sein, sonst landen Pakete im falschen Netz.
 - **Jedes VLAN hat ein eigenes Subnetz** und ein eigenes Gateway. Verkehr zwischen VLANs geht
  über einen Router, eine Firewall oder einen Layer-3-Switch – und dort lässt er sich regeln.
 - **DHCP über VLAN-Grenzen:** Steht der DHCP-Server in einem anderen VLAN, braucht das Gateway
  eine DHCP-Weiterleitung.
 - **Ungenutzte Ports** abschalten oder in ein VLAN ohne Verbindung legen, und VLAN 1 nicht für
  Benutzer verwenden.
 - **Dokumentieren:** Welcher Port, welches VLAN, welches Gerät. Ohne diese Liste wird jede
  Umsteckaktion zur Fehlersuche.
 ## Übersicht
 | VLAN | Name | Subnetz | Gateway |
 |---|---|---|---|
 | 10 | Verwaltung | 10.10.10.0/24 | 10.10.10.1 |
 | 20 | Server | 10.10.20.0/24 | 10.10.20.1 |
 | 30 | Drucker | 10.10.30.0/24 | 10.10.30.1 |
 | 40 | Produktion | 10.10.40.0/24 | 10.10.40.1 |
 | 90 | Gäste | 10.10.90.0/24 | 10.10.90.1 |
 | 99 | Netzwerkverwaltung | 10.10.99.0/24 | 10.10.99.1 |
 Die VLAN-ID im dritten Oktett zu wiederholen, ist keine Pflicht, macht aber jede Adresse
 lesbar.
 ## Prüfungsfrage
 **Frage:** Ein Access Point soll ein Funknetz für Mitarbeiter (VLAN 10) und eines für Gäste
 (VLAN 90) bereitstellen. Wie konfigurieren Sie den Switchport, an dem er hängt? Begründen Sie.
 **Antwort:** Der Port wird als Trunk konfiguriert, der VLAN 10 und VLAN 90 markiert
 überträgt; ggf. kommt das Verwaltungs-VLAN des Access Points hinzu, häufig als natives
 VLAN unmarkiert. Ein Access-Port ginge nicht, weil er nur ein einziges VLAN überträgt. Der
 Access Point ordnet jedem Funknetz die passende VLAN-ID zu, sodass Gäste-Datenverkehr
 markiert als VLAN 90 am Switch ankommt und von dort nur zum Gateway des Gästenetzes
 gelangt. Auf dem Trunk werden nur die benötigten VLANs zugelassen, nicht alle.
@@ -0,0 +1,67 @@
 ---
 id: N6
 titel: Zwischen Netzen – Routing und Firewallregeln
 block: netzwerk
 woche: 11
 worum: Netze zu trennen ist leicht. Die Kunst ist, genau den Verkehr durchzulassen, der gebraucht wird, und zu wissen, welcher Weg genommen wird.
 rahmenplan: [B2, A6, A8]
 lernfeld: LF9
 merksatz: Die genaueste Route gewinnt. Regeln von oben nach unten, die erste passende entscheidet, am Ende ist alles verboten.
 karten:
  - frage: Welche Route wählt ein Router, wenn mehrere Einträge auf ein Ziel passen?
    antwort: Die genaueste, also die mit dem längsten Präfix. Für 10.10.30.7 gewinnt 10.10.30.0/24 gegen 10.10.0.0/16, und beide gewinnen gegen die Standardroute 0.0.0.0/0.
  - frage: In welcher Reihenfolge werden Firewallregeln ausgewertet?
    antwort: Von oben nach unten. Die erste Regel, auf die ein Paket passt, entscheidet; alle weiteren werden nicht mehr geprüft. Passt keine, greift die Grundregel am Ende – üblicherweise blockieren.
  - frage: Was bedeutet, dass eine Firewall zustandsbehaftet arbeitet?
    antwort: Sie merkt sich erlaubte Verbindungen und lässt die zugehörigen Antworten von selbst durch. Man muss deshalb nur die Richtung erlauben, in der die Verbindung aufgebaut wird.
 ---
 ## Das Wesentliche
 - **Eine Routingtabelle** sagt für jedes Zielnetz, wohin ein Paket als Nächstes geht:
  Zielnetz, nächster Router (Next Hop) und Schnittstelle.
 - **Die genaueste Route gewinnt** (längstes Präfix). Passt nichts Genaueres, greift die
  **Standardroute** `0.0.0.0/0` – meist Richtung Internet.
 - **Routen entstehen** von selbst für direkt angeschlossene Netze, statisch von Hand oder
  dynamisch über Routingprotokolle. Im kleinen Betrieb reichen fast immer direkt
  angeschlossene Netze und eine Standardroute.
 - **Zwischen VLANs** routet der Router, die Firewall oder ein Layer-3-Switch. Steht dort eine
  Firewall, wird aus „getrennt" endlich „geregelt".
 - **Eine Firewallregel** besteht aus Quelle, Ziel, Dienst (Protokoll und Port) und Aktion.
  Gute Regeln sind so eng wie möglich: nicht „Verwaltung darf ins Servernetz", sondern
  „Verwaltung darf den Dateiserver über SMB".
 - **Von oben nach unten, erste Regel gewinnt.** Eine weite Erlaubnis oben macht jede Sperre
  darunter wirkungslos. Spezielle Regeln nach oben, allgemeine nach unten.
 - **Grundregel blockieren.** Was nicht ausdrücklich erlaubt ist, ist verboten – nicht
  umgekehrt.
 - **Zustandsbehaftet:** Antworten auf erlaubte Verbindungen kommen von selbst durch. Eine
  zweite Regel für die Rückrichtung ist überflüssig und meist ein Zeichen dafür, dass jemand
  das Prinzip nicht kannte.
 - **Jede Regel braucht eine Beschreibung** mit Zweck und Ticketnummer. Eine Regel, deren Zweck
  niemand kennt, traut sich keiner zu löschen.
 ## Übersicht
 | Nr. | Quelle | Ziel | Dienst | Aktion | Zweck |
 |---|---|---|---|---|---|
 | 1 | Gäste | Firewall (Gateway Gäste) | DNS | erlauben | Namensauflösung |
 | 2 | Gäste | alle internen Netze | alle | blockieren | Gäste bleiben draußen |
 | 3 | Gäste | beliebig | HTTP, HTTPS | erlauben | Internetzugang |
 | 4 | Verwaltung | Dateiserver | SMB | erlauben | Ablagen |
 | 5 | Verwaltung | Druckernetz | Druckdienst | erlauben | Drucken |
 | 6 | beliebig | beliebig | alle | blockieren | Grundregel |
 Regel 1 steht vor der Sperre, weil das Gateway der Gäste – hier 10.10.90.1 – selbst in einem
 internen Adressbereich liegt. Andersherum würde Regel 2 auch die Namensauflösung sperren.
 ## Prüfungsfrage
 **Frage:** Ein Router hat folgende Einträge: `0.0.0.0/0 → 192.0.2.1`,
 `10.10.0.0/16 → 10.0.0.2`, `10.10.30.0/24 → 10.0.0.3`. Wohin leitet er Pakete an
 10.10.30.7, 10.10.40.5 und 8.8.8.8? Begründen Sie.
 **Antwort:** 10.10.30.7 passt auf alle drei Einträge; gewählt wird der genaueste,
 `10.10.30.0/24`, also an 10.0.0.3. 10.10.40.5 passt auf `10.10.0.0/16` und die
 Standardroute; der genauere Eintrag gewinnt, also an 10.0.0.2. 8.8.8.8 passt nur auf die
 Standardroute und geht an 192.0.2.1. Maßgeblich ist jeweils die Präfixlänge, nicht die
 Reihenfolge der Einträge in der Tabelle.
@@ -0,0 +1,61 @@
 ---
 id: N7
 titel: WLAN im Betrieb – Frequenzen, Verschlüsselung, Gästenetz
 block: netzwerk
 woche: 11
 worum: Ein Funknetz, das zu Hause genügt, genügt im Betrieb selten. Entscheidend sind Ausleuchtung, getrennte Netze und Zugangsdaten, die man einer einzelnen Person wieder wegnehmen kann.
 rahmenplan: [B2, A6, A2]
 lernfeld: LF9
 merksatz: Mitarbeiter mit eigenem Zugang, Gäste im eigenen VLAN, Kanäle so verteilt, dass sich die Access Points nicht gegenseitig stören.
 karten:
  - frage: Welche Kanäle nutzt man im 2,4-GHz-Band, damit sich benachbarte Access Points nicht stören?
    antwort: Die Kanäle 1, 6 und 11. Sie überlappen sich nicht. Alle anderen Kombinationen stören sich gegenseitig.
  - frage: Was unterscheidet WPA2/WPA3-Personal von WPA2/WPA3-Enterprise?
    antwort: Bei Personal teilen sich alle denselben Schlüssel – wer ihn kennt, ist drin, und entziehen lässt er sich nur, indem man ihn für alle ändert. Bei Enterprise meldet sich jeder mit eigenen Zugangsdaten über 802.1X und einen RADIUS-Server an; ein einzelner Zugang lässt sich sperren.
  - frage: Wie richtet man ein Gäste-WLAN sicher ein?
    antwort: Eigenes Funknetz in einem eigenen VLAN mit eigenem Subnetz, Firewallregeln, die nur den Weg ins Internet erlauben, Isolation der Gäste untereinander und ein regelmäßig wechselnder Schlüssel oder Zugangscodes.
 ---
 ## Das Wesentliche
 - **2,4 GHz** reicht weiter und durch Wände, hat aber nur drei überlappungsfreie Kanäle:
  **1, 6 und 11**. Es ist voll mit Nachbarnetzen, Bluetooth und Mikrowellen.
 - **5 GHz** hat viele Kanäle und mehr Durchsatz, aber weniger Reichweite. Im Büro die erste
  Wahl. **6 GHz** (ab Wi-Fi 6E) bietet noch mehr freie Kanäle, setzt aber passende Endgeräte
  voraus.
 - **Ausleuchten statt raten.** Wo Access Points hängen, entscheidet eine Messung vor Ort,
  nicht der Grundriss. Stahlregale im Lager und Brandschutztüren dämpfen mehr als jede
  Rigipswand.
 - **Mehr Access Points mit geringerer Sendeleistung** sind besser als wenige mit voller
  Leistung. Ein Endgerät, das am fernen Access Point festhängt, bremst alle anderen.
 - **WPA3**, wo die Geräte es können, sonst WPA2 mit AES. WEP und WPA (ohne Zahl) sind
  gebrochen.
 - **Mitarbeiter über Enterprise (802.1X):** jeder mit eigenen Zugangsdaten oder einem
  Gerätezertifikat. Verlässt jemand den Betrieb, wird sein Zugang gesperrt – nicht der
  Schlüssel für alle geändert.
 - **Gäste in ein eigenes VLAN**, nur Internet, keine internen Netze, untereinander isoliert.
  Den Schlüssel regelmäßig wechseln oder Tageszugänge ausgeben.
 - **Zentral verwalten:** Bei mehr als zwei, drei Access Points gehört ein Controller dazu,
  der Kanäle, Sendeleistung und Einstellungen einheitlich hält.
 ## Übersicht
 | Funknetz | Verschlüsselung | VLAN | Darf |
 |---|---|---|---|
 | Firma | WPA3-Enterprise (802.1X) | Verwaltung | wie ein Kabelanschluss der Verwaltung |
 | Lager-Scanner | WPA2/WPA3-Personal, eigener Schlüssel | Produktion | nur die Lagerverwaltung |
 | Gäste | WPA2/WPA3-Personal, wechselnder Schlüssel | Gäste | nur Internet, isoliert |
 ## Prüfungsfrage
 **Frage:** Im Betrieb wird ein einziges WLAN mit gemeinsamem Schlüssel für Mitarbeiter und
 Gäste genutzt. Ein ehemaliger Mitarbeiter kennt den Schlüssel. Beschreiben Sie die Risiken
 und eine bessere Lösung.
 **Antwort:** Risiken: Jeder, der den Schlüssel kennt – auch ehemalige Mitarbeiter und Gäste –,
 ist im selben Netz wie die internen Systeme und kann sie erreichen. Entziehen lässt sich der
 Zugang nur, indem man den Schlüssel für alle ändert und auf allen Geräten neu einträgt.
 Bessere Lösung: (1) Ein Funknetz für Mitarbeiter mit WPA2/WPA3-Enterprise über 802.1X und
 einen RADIUS-Server, angebunden an die Benutzerkonten – ein ausgeschiedener Mitarbeiter wird
 mit seinem Konto gesperrt. (2) Ein getrenntes Gästenetz in eigenem VLAN, das per Firewall nur
 ins Internet darf und Gäste untereinander isoliert, mit regelmäßig wechselndem Schlüssel.
@@ -0,0 +1,95 @@
 ---
 id: P4
 titel: Pseudocode, Struktogramm und Schreibtischtest
 block: programmierung
 woche: 16
 worum: In der Prüfung schreibt man keinen lauffähigen Code, sondern beschreibt den Ablauf so, dass ihn jeder umsetzen kann. Drei Bausteine genügen – Folge, Verzweigung, Schleife.
 rahmenplan: [A10, A4]
 lernfeld: LF5
 merksatz: Erst den Ablauf in Worten, dann in Pseudocode. Jede Schleife braucht ein Ende. Mit einem Schreibtischtest prüfen, bevor man abgibt.
 karten:
  - frage: Was unterscheidet eine kopfgesteuerte von einer fußgesteuerten Schleife?
    antwort: Die kopfgesteuerte Schleife (SOLANGE … ENDE SOLANGE) prüft die Bedingung vor jedem Durchlauf und läuft unter Umständen gar nicht. Die fußgesteuerte (WIEDERHOLE … BIS) prüft erst danach und läuft deshalb mindestens einmal.
  - frage: Was ist ein Schreibtischtest?
    antwort: Man spielt einen Algorithmus von Hand mit Beispielwerten durch und notiert in einer Tabelle nach jedem Schritt die Werte aller Variablen. So findet man Fehler, ohne den Code auszuführen.
  - frage: Was liefert dieser Ablauf für die Liste 72, 91, 85, 60 – zaehler ← 0; FÜR jeden wert IN liste – WENN wert > 80 DANN zaehler ← zaehler + 1?
    antwort: 2, denn nur 91 und 85 sind größer als 80.
 ---
 ## Das Wesentliche
 - **Drei Bausteine** reichen für jeden Ablauf: **Folge** (Schritt für Schritt), **Verzweigung**
  (WENN … DANN … SONST), **Schleife** (wiederholen, bis etwas erreicht ist).
 - **Pseudocode** ist strukturierte Umgangssprache mit festen Schlüsselwörtern. In der Prüfung
  gibt es keine verbindliche Schreibweise; wichtig ist, dass Einrückung und Schlüsselwörter
  eindeutig zeigen, was wozu gehört.
 - **Zuweisung:** `summe ← 0` – die Variable bekommt einen Wert. Vergleich: `summe = 0`.
 - **Schleifen:**
  - `FÜR i ← 1 BIS n` – Anzahl der Durchläufe steht vorher fest
  - `SOLANGE bedingung` – kopfgesteuert, prüft vorher, läuft eventuell nie
  - `WIEDERHOLE … BIS bedingung` – fußgesteuert, läuft mindestens einmal
 - **Struktogramm (Nassi-Shneiderman):** Der Ablauf als Kasten; eine Verzweigung teilt den Kasten
  mit einem Dreieck in Ja und Nein, eine Schleife umschließt die zu wiederholenden Schritte.
  Sprünge gibt es nicht.
 - **Programmablaufplan (PAP):** Ablauf mit Symbolen nach DIN 66001 – Oval für Start und Ende,
  Rechteck für Tätigkeiten, Raute für Entscheidungen, Parallelogramm für Ein- und Ausgabe.
 - **Schreibtischtest:** Beispielwerte wählen, Schritt für Schritt durchgehen und die Werte aller
  Variablen in einer Tabelle festhalten. Grenzfälle mitnehmen: leere Liste, ein Element, genau
  der Grenzwert.
 ## Übersicht
 Gesucht: Wie viele Server haben mehr als 80 % Plattenbelegung, und wie hoch ist die höchste?
 ```
 anzahlKritisch ← 0
 maximum ← belegung[0]
 FÜR i ← 0 BIS laenge(belegung) − 1
    WENN belegung[i] > 80 DANN
        anzahlKritisch ← anzahlKritisch + 1
    ENDE WENN
    WENN belegung[i] > maximum DANN
        maximum ← belegung[i]
    ENDE WENN
 ENDE FÜR
 AUSGABE anzahlKritisch, maximum
 ```
 Schreibtischtest mit `belegung = [72, 91, 85, 60]` – „Wert" ist `belegung[i]`, „Anzahl" ist
 `anzahlKritisch`, „Max." ist `maximum`:
 | i | Wert | > 80? | Anzahl | Max. |
 |---|---|---|---|---|
 | – | – | – | 0 | 72 |
 | 0 | 72 | nein | 0 | 72 |
 | 1 | 91 | ja | 1 | 91 |
 | 2 | 85 | ja | 2 | 91 |
 | 3 | 60 | nein | 2 | 91 |
 Ausgabe: 2 und 91.
 ## Prüfungsfrage
 **Frage:** Ein Prüfprogramm erhält eine Liste von Messwerten. Ein Wert ist in Ordnung, wenn er
 zwischen 9,8 und 10,2 liegt (Grenzen eingeschlossen). Schreiben Sie einen Pseudocode, der
 ausgibt, wie viele Werte außerhalb der Toleranz liegen, und ob mehr als 5 % der Werte betroffen
 sind.
 **Antwort:**
 ```
 ausserhalb ← 0
 FÜR jeden wert IN messwerte
    WENN wert < 9,8 ODER wert > 10,2 DANN
        ausserhalb ← ausserhalb + 1
    ENDE WENN
 ENDE FÜR
 AUSGABE ausserhalb
 WENN laenge(messwerte) > 0 UND ausserhalb / laenge(messwerte) > 0,05 DANN
    AUSGABE "Mehr als 5 % außerhalb der Toleranz"
 ENDE WENN
 ```
 Die Bedingung prüft beide Grenzen mit ODER, weil ein Wert entweder zu klein oder zu groß sein
 kann. Die Grenzwerte selbst gelten als in Ordnung, deshalb `<` und `>` statt `≤` und `≥`. Die
 Prüfung auf eine leere Liste verhindert eine Division durch null.
@@ -0,0 +1,64 @@
 ---
 id: S10
 titel: Protokolle lesen – und warum die Uhrzeit stimmen muss
 block: system
 woche: 14
 worum: Protokolle sagen, was passiert ist. Aber nur, wenn man weiß, wo man suchen muss, und wenn die Uhren aller Systeme übereinstimmen.
 rahmenplan: [A8, A6, B3]
 lernfeld: LF11
 merksatz: Zeitpunkt eingrenzen, dann suchen. Alle Uhren per NTP gleich. Protokolle enthalten personenbezogene Daten.
 karten:
  - frage: Welche drei Protokolle der Windows-Ereignisanzeige sind für die Fehlersuche am wichtigsten?
    antwort: System (Treiber, Dienste, Neustarts), Anwendung (Meldungen der Programme) und Sicherheit (Anmeldungen, Zugriffe, Änderungen an Konten).
  - frage: Warum muss die Uhrzeit auf allen Systemen übereinstimmen?
    antwort: Damit sich Ereignisse aus verschiedenen Protokollen einander zuordnen lassen, und weil Kerberos-Anmeldungen im Active Directory scheitern, wenn die Uhren um mehr als fünf Minuten abweichen.
  - frage: Was bedeuten die Ereignis-IDs 4624 und 4625 im Sicherheitsprotokoll von Windows?
    antwort: 4624 ist eine erfolgreiche Anmeldung, 4625 eine fehlgeschlagene. Viele 4625 in kurzer Zeit für dasselbe Konto deuten auf Passwortraten hin.
 ---
 ## Das Wesentliche
 - **Erst den Zeitpunkt eingrenzen, dann suchen.** „Seit wann?" ist die wichtigste Frage bei
  jeder Störung. Wer den Zeitraum kennt, findet die Ursache im Protokoll in Minuten statt
  Stunden.
 - **Windows – Ereignisanzeige:** Protokoll *System* für Dienste, Treiber und Neustarts,
  *Anwendung* für Programme, *Sicherheit* für Anmeldungen und Zugriffe. Filtern nach Zeitraum,
  Ebene (Fehler, Warnung) und Ereignis-ID.
 - **Linux – Journal:** `journalctl --since "2026-10-05 08:00" --until "09:00"`, `-u dienst`
  für einen Dienst, `-p err` für Fehler. Klassische Textdateien unter `/var/log`.
 - **Bekannte Ereignis-IDs sparen Zeit:** 4624 Anmeldung erfolgreich, 4625 fehlgeschlagen,
  4740 Konto gesperrt, 6008 unerwartetes Herunterfahren, 41 (Kernel-Power) Neustart ohne
  sauberes Herunterfahren.
 - **Zeitsynchronisation:** Alle Systeme beziehen ihre Zeit per **NTP** aus derselben Quelle –
  in einer Domäne vom Domänencontroller, dieser von einer verlässlichen externen Quelle.
  Weichen Uhren um mehr als fünf Minuten ab, scheitert die Anmeldung über Kerberos.
 - **Zentral sammeln:** Bei mehr als einer Handvoll Systeme gehören die Protokolle an einen
  zentralen Ort. Dann lässt sich eine Anmeldung über mehrere Systeme verfolgen – und ein
  Angreifer kann seine Spuren nicht auf dem befallenen System löschen.
 - **Protokolle sind personenbezogen.** Sie zeigen, wer sich wann wo angemeldet hat. Deshalb:
  Aufbewahrung begrenzen, Zugriff beschränken, nur für den vereinbarten Zweck auswerten.
 ## Übersicht
 | Frage | Windows | Linux |
 |---|---|---|
 | Warum ist der Server neu gestartet? | System, Ereignis 6008 bzw. 41 und 1074 | `journalctl --list-boots`, `last -x reboot` |
 | Wer hat sich angemeldet? | Sicherheit, Ereignis 4624 | `last`, `journalctl -u ssh` |
 | Warum startet der Dienst nicht? | System, Quelle „Service Control Manager" | `systemctl status`, `journalctl -u dienst` |
 | Stimmt die Uhrzeit? | `w32tm /query /status` | `timedatectl` |
 ## Prüfungsfrage
 **Frage:** Mehrere Benutzer können sich seit heute Morgen nicht mehr an der Domäne anmelden,
 andere schon. Die Fehlermeldung nennt einen Zeitunterschied. Erklären Sie die Ursache und Ihr
 Vorgehen.
 **Antwort:** Die Anmeldung im Active Directory erfolgt über Kerberos, das nur eine geringe
 Abweichung der Uhrzeiten zwischen Client und Domänencontroller zulässt (standardmäßig fünf
 Minuten). Bei den betroffenen Rechnern geht die Uhr vermutlich falsch, etwa weil die
 Zeitsynchronisation nicht läuft oder eine leere CMOS-Batterie die Uhr nach einem Neustart
 zurückgesetzt hat. Vorgehen: (1) Auf einem betroffenen Client mit `w32tm /query /status`
 Zeitquelle und Abweichung prüfen. (2) Prüfen, ob der Domänencontroller selbst die richtige
 Zeit hat und von einer verlässlichen Quelle bezieht. (3) Die Zeit mit `w32tm /resync`
 synchronisieren und die Anmeldung testen. (4) Die Ursache beheben – Zeitdienst, Gruppenrichtlinie
 für die Zeitquelle oder Batterie – und die Zeitabweichung in die Überwachung aufnehmen.
@@ -0,0 +1,64 @@
 ---
 id: S11
 titel: Updates und Patches – planbar statt hektisch
 block: system
 woche: 14
 worum: Die meisten erfolgreichen Angriffe nutzen Lücken, für die es längst ein Update gibt. Patch-Management sorgt dafür, dass Updates zuverlässig ankommen, ohne dass dabei der Betrieb stehen bleibt.
 rahmenplan: [A8, A6, A5]
 lernfeld: LF11
 merksatz: Wissen, was läuft. Erst Test, dann Pilotgruppe, dann alle. Kritische Lücken sofort, der Rest im festen Takt.
 karten:
  - frage: In welcher Reihenfolge verteilt man Updates im Betrieb?
    antwort: Zuerst auf Testsysteme, dann auf eine kleine Pilotgruppe aus normalen Arbeitsplätzen, und erst wenn dort nach einigen Tagen nichts auffällt, auf alle. Server in einem angekündigten Wartungsfenster.
  - frage: Wann ist der Patchday von Microsoft?
    antwort: Am zweiten Dienstag jedes Monats. Für Lücken, die bereits aktiv ausgenutzt werden, erscheinen zusätzlich außerplanmäßige Updates.
  - frage: Was bedeutet End of Life bei Software, und was folgt daraus?
    antwort: Der Hersteller liefert keine Sicherheitsupdates mehr – neue Lücken bleiben für immer offen. Solche Software muss ersetzt oder, wenn das nicht sofort geht, vom Netz getrennt und besonders abgesichert werden. Beispiel – Windows 10 seit dem 14. Oktober 2025.
 ---
 ## Das Wesentliche
 - **Ohne Bestand kein Patch-Management.** Man muss wissen, welche Geräte, Betriebssysteme und
  Programme mit welcher Version im Betrieb laufen. Was nicht in der Liste steht, wird auch nicht
  aktualisiert.
 - **Fester Takt:** Microsoft veröffentlicht am **zweiten Dienstag** im Monat. Viele Betriebe
  planen danach: Test in der Woche danach, Pilotgruppe, dann alle innerhalb von zwei bis drei
  Wochen.
 - **Ringe statt alle auf einmal:** Testsysteme, Pilotgruppe (die IT selbst und einige
  freiwillige Nutzer), dann alle. Ein fehlerhaftes Update trifft so zehn Rechner, nicht hundert.
 - **Kritische Lücken außer der Reihe.** Wird eine Lücke bereits aktiv ausgenutzt, wird sofort
  gehandelt – notfalls mit verkürztem Test. Hinweise liefern der Hersteller und die Warnungen
  des BSI.
 - **Nicht nur Windows:** Programme wie Browser und PDF-Leser, Firmware von Firewall, Switch, NAS
  und BIOS, Linux-Server, Smartphones. Gerade Netzwerkgeräte werden oft jahrelang vergessen.
 - **Server im Wartungsfenster**, angekündigt, mit Snapshot oder Sicherung vorher und einem
  Rückweg, falls etwas schiefgeht.
 - **Nachprüfen:** Kam das Update überall an? Ein Bericht über den Stand aller Geräte gehört zum
  Abschluss jedes Zyklus.
 - **End of Life im Blick behalten.** Software ohne Sicherheitsupdates wird rechtzeitig ersetzt –
  das Ende ist Jahre vorher bekannt.
 ## Übersicht
 | Ring | Wer | Wann nach Veröffentlichung |
 |---|---|---|
 | 0 – Test | Testsysteme der IT | sofort |
 | 1 – Pilot | IT und einige freiwillige Nutzer | nach 2–3 Tagen |
 | 2 – Breit | alle Arbeitsplätze | nach etwa einer Woche |
 | 3 – Server | Server im Wartungsfenster | nach etwa zwei Wochen |
 | Notfall | alle betroffenen Systeme | sofort, bei aktiv ausgenutzter Lücke |
 ## Prüfungsfrage
 **Frage:** In Ihrem Betrieb werden Updates bisher „wenn jemand Zeit hat" eingespielt.
 Entwerfen Sie ein Vorgehen für das Patch-Management und begründen Sie zwei Bestandteile.
 **Antwort:** (1) Einen vollständigen Bestand aller Geräte und Programme mit Version führen.
 (2) Einen festen Takt nach dem monatlichen Patchday festlegen. (3) Updates in Ringen verteilen:
 Testsysteme, Pilotgruppe, alle Arbeitsplätze, Server im angekündigten Wartungsfenster mit
 Sicherung vorher. (4) Für aktiv ausgenutzte Lücken ein beschleunigtes Notfallverfahren
 vorsehen. (5) Nach jedem Zyklus prüfen und berichten, auf welchem Stand alle Geräte sind.
 (6) Firmware von Netzwerkgeräten und Software ohne automatische Aktualisierung einbeziehen.
 Begründungen etwa: Die Ringe begrenzen den Schaden eines fehlerhaften Updates auf wenige
 Geräte. Der Bestand ist Voraussetzung, weil ein Gerät, das niemand kennt, auch nie aktualisiert
 wird – und genau dort sitzt dann die Lücke.
@@ -0,0 +1,62 @@
 ---
 id: S6
 titel: Linux – Dateisystem und die Befehle für jeden Tag
 block: system
 woche: 13
 worum: Unter Linux gibt es keine Laufwerksbuchstaben, sondern einen einzigen Verzeichnisbaum. Wer weiß, wo was liegt, findet Konfiguration und Fehler in Minuten.
 rahmenplan: [B3, A8]
 lernfeld: LF9
 merksatz: Konfiguration in /etc, Protokolle in /var/log, Benutzer in /home. Erst lesen mit less und grep, dann ändern.
 karten:
  - frage: Wo liegen unter Linux die Konfigurationsdateien und wo die Protokolle?
    antwort: Konfiguration in /etc, etwa /etc/ssh/sshd_config. Protokolle in /var/log und im Journal von systemd, das man mit journalctl liest.
  - frage: Was zeigen df -h und du -sh?
    antwort: df -h zeigt die Belegung der eingehängten Dateisysteme, also wie voll jede Platte ist. du -sh zeigt, wie viel Platz ein bestimmtes Verzeichnis belegt – damit findet man, wer die Platte füllt.
  - frage: Wie findet man alle Zeilen mit „error" in den Protokollen unter /var/log, ohne Groß- und Kleinschreibung zu beachten?
    antwort: Mit grep -ri error /var/log – r durchsucht die Unterverzeichnisse, i ignoriert die Schreibweise. Für das Journal von systemd stattdessen journalctl -p err.
 ---
 ## Das Wesentliche
 - **Ein Baum ab `/`.** Weitere Platten und Freigaben werden irgendwo in diesen Baum
  eingehängt, etwa unter `/mnt` oder `/srv`.
 - **Die wichtigsten Orte:** `/etc` Konfiguration, `/var/log` Protokolle, `/home` die
  Benutzer, `/root` der Administrator, `/usr/bin` Programme, `/tmp` Zwischendateien,
  `/opt` und `/srv` für eigene Anwendungen und Daten.
 - **Groß- und Kleinschreibung zählt.** `Bericht.txt` und `bericht.txt` sind zwei Dateien.
 - **Navigieren:** `pwd` (wo bin ich?), `ls -la` (was liegt hier, auch versteckt, mit Rechten),
  `cd` (wechseln), `cd ~` (nach Hause), `cd -` (zurück).
 - **Dateien:** `cp`, `mv`, `rm`, `mkdir -p`. `rm -r` löscht ohne Papierkorb und ohne
  Rückfrage – vorher mit `ls` prüfen, was getroffen wird.
 - **Lesen:** `less` zum Blättern (`/` sucht, `q` beendet), `tail -f` zum Mitlesen eines
  wachsenden Protokolls, `grep` zum Suchen in Dateien.
 - **Finden:** `find /etc -name "*.conf"` nach Namen, `find /var -size +500M` nach Größe.
 - **Platz:** `df -h` für die Platten, `du -sh /var/*` für die Verzeichnisse darin.
 - **Bearbeiten:** `nano` ist für den Anfang der freundlichste Editor. Vor jeder Änderung eine
  Kopie: `cp datei datei.bak`.
 - **Hilfe:** `man befehl` oder `befehl --help`.
 ## Übersicht
 | Frage | Befehl |
 |---|---|
 | Wie voll sind die Platten? | `df -h` |
 | Welches Verzeichnis ist so groß? | `du -sh /var/* \| sort -h` |
 | Was steht zuletzt im Protokoll? | `tail -n 50 /var/log/syslog` oder `journalctl -n 50` |
 | Welche Netzwerkadressen habe ich? | `ip a` |
 | Welche Ports sind offen? | `ss -tlnp` |
 | Welche Prozesse brauchen Leistung? | `top` oder `htop` |
 | Welche Distribution läuft? | `cat /etc/os-release` |
 ## Prüfungsfrage
 **Frage:** Ein Linux-Server meldet, dass die Platte voll ist. Beschreiben Sie mit Befehlen,
 wie Sie die Ursache finden.
 **Antwort:** (1) Mit `df -h` prüfen, welches Dateisystem voll ist und wo es eingehängt ist.
 (2) Mit `du -sh /pfad/* | sort -h` die Unterverzeichnisse nach Größe sortieren und schrittweise
 in das größte hineingehen, bis die Ursache gefunden ist – häufig sind es Protokolle unter
 `/var/log`, alte Sicherungen oder ungenutzte Container-Abbilder. (3) Mit `find /pfad -size +1G`
 gezielt nach sehr großen Dateien suchen. (4) Vor dem Löschen klären, ob die Daten noch
 gebraucht werden, und bei Protokollen die Ursache beheben, etwa eine fehlende
 Protokollrotation oder einen Dienst, der in einer Fehlerschleife schreibt.
@@ -0,0 +1,60 @@
 ---
 id: S7
 titel: Linux – Benutzer, Gruppen und Dateirechte
 block: system
 woche: 13
 worum: Unter Linux hat jede Datei einen Besitzer, eine Gruppe und drei Mal drei Rechte. Das ist einfacher als unter Windows – und genauso schnell falsch gesetzt.
 rahmenplan: [B3, A6]
 lernfeld: LF9
 merksatz: Lesen 4, Schreiben 2, Ausführen 1 – für Besitzer, Gruppe, alle anderen. Täglich arbeiten als Benutzer, Rechte holen mit sudo.
 karten:
  - frage: Was bedeutet chmod 640 bericht.txt?
    antwort: Der Besitzer darf lesen und schreiben (6 = 4 + 2), die Gruppe darf lesen (4), alle anderen dürfen nichts (0).
  - frage: Was bedeutet das Recht x bei einem Verzeichnis?
    antwort: Man darf in das Verzeichnis wechseln und auf die Dateien darin zugreifen. Ohne x nützt auch das Leserecht r wenig – man sieht die Namen, kommt aber nicht an die Dateien.
  - frage: Wie nimmt man einen Benutzer nachträglich in eine Gruppe auf, ohne ihn aus den anderen zu entfernen?
    antwort: Mit sudo usermod -aG gruppe benutzer. Das a für append ist entscheidend – ohne es ersetzt -G alle bisherigen Zusatzgruppen.
 ---
 ## Das Wesentliche
 - **Jede Datei** hat einen Besitzer, eine Gruppe und Rechte für drei Klassen: Besitzer (u),
  Gruppe (g), alle anderen (o).
 - **Drei Rechte:** r lesen (4), w schreiben (2), x ausführen (1). Bei Verzeichnissen heißt x:
  hineinwechseln dürfen.
 - **Lesen in `ls -l`:** `-rw-r-----  1 anna buchhaltung  bericht.txt` – Datei, Besitzerin
  anna liest und schreibt, Gruppe buchhaltung liest, alle anderen nichts.
 - **Setzen:** `chmod 640 datei` als Zahl oder `chmod g+w datei` als Zeichen. `chown anna:buchhaltung
  datei` ändert Besitzer und Gruppe.
 - **777 ist nie die Lösung.** Wer „Permission denied" mit `chmod 777` beseitigt, hat das Problem
  versteckt und eine Lücke geöffnet. Richtig ist, Besitzer oder Gruppe passend zu setzen.
 - **Benutzer:** `sudo adduser anna` legt Benutzer samt Heimatverzeichnis an (Debian, Ubuntu).
  Gespeichert wird in `/etc/passwd`, die Passwort-Hashes in `/etc/shadow`, Gruppen in
  `/etc/group`.
 - **Gruppen:** `sudo usermod -aG gruppe anna`. Wirksam erst nach erneuter Anmeldung.
 - **root und sudo:** root darf alles. Im Alltag arbeitet man als normaler Benutzer und holt sich
  Rechte für einen einzelnen Befehl mit `sudo`. Jeder `sudo`-Aufruf wird protokolliert.
 - **Konto sperren statt löschen**, wenn jemand geht: `sudo usermod -L anna` und
  `sudo chage -E 0 anna`. So bleibt nachvollziehbar, wem welche Dateien gehörten.
 ## Übersicht
 | Zahl | Zeichen | Bedeutung | Typisch für |
 |---|---|---|---|
 | 644 | rw-r--r-- | Besitzer schreibt, alle lesen | Konfigurationsdateien, Webseiten |
 | 640 | rw-r----- | Besitzer schreibt, Gruppe liest | Dateien mit vertraulichem Inhalt |
 | 600 | rw------- | nur der Besitzer | private Schlüssel, Zugangsdaten |
 | 755 | rwxr-xr-x | Besitzer schreibt, alle lesen und führen aus | Programme, Verzeichnisse |
 | 750 | rwxr-x--- | wie 755, aber ohne die anderen | Verzeichnisse einer Abteilung |
 ## Prüfungsfrage
 **Frage:** Im Verzeichnis `/srv/einkauf` sollen alle Mitglieder der Gruppe `einkauf` Dateien
 anlegen und ändern dürfen, andere Benutzer gar nichts. Wie richten Sie das ein?
 **Antwort:** `sudo chown root:einkauf /srv/einkauf` setzt die Gruppe; `sudo chmod 2770
 /srv/einkauf` gibt Besitzer und Gruppe Lesen, Schreiben und Hineinwechseln und den anderen
 nichts. Die vorangestellte 2 setzt das setgid-Bit: Neue Dateien im Verzeichnis gehören dann
 automatisch der Gruppe `einkauf` statt der primären Gruppe ihres Erstellers – sonst könnten die
 Kollegen eine neu angelegte Datei womöglich nicht ändern. Die Benutzer kommen mit `sudo usermod
 -aG einkauf benutzer` in die Gruppe und müssen sich danach neu anmelden.
@@ -0,0 +1,63 @@
 ---
 id: S8
 titel: Linux – Pakete, Dienste und Fernzugang per SSH
 block: system
 woche: 13
 worum: Ein Linux-Server wird über drei Werkzeuge betrieben – den Paketmanager, systemd und SSH. Wer die drei beherrscht, kann fast jeden Server pflegen.
 rahmenplan: [B3, A6, A8]
 lernfeld: LF9
 merksatz: apt für Software, systemctl für Dienste, journalctl für Protokolle, SSH nur mit Schlüssel. Zweite Sitzung offen lassen, bevor man den Zugang ändert.
 karten:
  - frage: Was ist der Unterschied zwischen systemctl start und systemctl enable?
    antwort: start startet den Dienst jetzt, enable sorgt dafür, dass er bei jedem Systemstart mitstartet. systemctl enable --now erledigt beides auf einmal.
  - frage: Warum meldet man sich per SSH mit Schlüssel statt mit Passwort an?
    antwort: Ein Schlüssel lässt sich nicht erraten und nicht durch Durchprobieren knacken, und der private Teil verlässt nie den eigenen Rechner. Danach kann die Anmeldung per Passwort am Server ganz abgeschaltet werden.
  - frage: Warum lässt man beim Ändern der SSH-Konfiguration eine zweite Sitzung offen?
    antwort: Weil man sich mit einem Fehler in der Konfiguration aussperren kann. Die offene Sitzung bleibt bestehen, und man kann den Fehler darüber beheben, bevor man sie schließt.
 ---
 ## Das Wesentliche
 - **Pakete (Debian, Ubuntu):** `sudo apt update` holt die Paketlisten, `sudo apt upgrade`
  spielt Aktualisierungen ein, `sudo apt install nginx` installiert. Sicherheitsupdates lassen
  sich mit `unattended-upgrades` automatisch einspielen.
 - **Software nur aus den Paketquellen**, nicht per heruntergeladenem Skript, wenn es sich
  vermeiden lässt. Was der Paketmanager kennt, aktualisiert er auch.
 - **Dienste mit systemd:** `systemctl status nginx` zeigt Zustand und letzte
  Protokollzeilen, `start`, `stop`, `restart` steuern, `enable` startet ihn beim Hochfahren mit.
 - **Protokolle:** `journalctl -u nginx` für einen Dienst, `-f` zum Mitlesen, `-b` seit dem
  letzten Start, `--since "1 hour ago"` für einen Zeitraum, `-p err` nur Fehler.
 - **SSH-Schlüssel:** Auf dem eigenen Rechner `ssh-keygen -t ed25519` erzeugen, mit
  `ssh-copy-id benutzer@server` hinterlegen. Der private Schlüssel bleibt beim Benutzer und
  bekommt eine Passphrase.
 - **SSH absichern** in `/etc/ssh/sshd_config`: `PermitRootLogin no`,
  `PasswordAuthentication no`. Danach `sudo systemctl reload ssh` – und **in einer zweiten
  Sitzung testen**, bevor die erste geschlossen wird.
 - **Firewall:** `sudo ufw allow OpenSSH`, danach nur die Dienste freigeben, die gebraucht
  werden, und `sudo ufw enable`. Mit `ss -tlnp` prüfen, was tatsächlich lauscht.
 - **Neustart nach Kernel-Updates:** Ob einer nötig ist, zeigt unter Debian und Ubuntu die
  Datei `/var/run/reboot-required`.
 ## Übersicht
 | Aufgabe | Befehl |
 |---|---|
 | Aktualisieren | `sudo apt update && sudo apt upgrade` |
 | Dienst starten und dauerhaft einschalten | `sudo systemctl enable --now nginx` |
 | Läuft der Dienst? | `systemctl status nginx` |
 | Warum startet er nicht? | `journalctl -u nginx -b --no-pager \| tail -n 30` |
 | Schlüssel erzeugen und hinterlegen | `ssh-keygen -t ed25519` und `ssh-copy-id anna@srv-web-01` |
 | Firewall-Zustand | `sudo ufw status verbose` |
 ## Prüfungsfrage
 **Frage:** Ein frisch installierter Linux-Server soll per SSH verwaltet werden. Beschreiben Sie
 die Schritte, mit denen Sie den Zugang absichern, in der richtigen Reihenfolge.
 **Antwort:** (1) Einen persönlichen Benutzer mit `sudo`-Recht anlegen, damit nicht als root
 gearbeitet wird. (2) Auf dem eigenen Rechner ein Schlüsselpaar erzeugen und den öffentlichen
 Schlüssel mit `ssh-copy-id` für diesen Benutzer hinterlegen. (3) Die Anmeldung mit dem Schlüssel
 testen. (4) In `sshd_config` die direkte Anmeldung als root und die Anmeldung per Passwort
 abschalten und den Dienst neu laden. (5) In einer zweiten Sitzung prüfen, dass die Anmeldung
 weiterhin funktioniert, bevor die erste geschlossen wird. (6) Die Firewall so einrichten, dass
 SSH nur aus dem Verwaltungsnetz erreichbar ist, und automatische Sicherheitsupdates einschalten.
@@ -0,0 +1,66 @@
 ---
 id: S9
 titel: Überwachung – wissen, dass etwas kaputt ist, bevor es jemand meldet
 block: system
 woche: 14
 worum: Eine gute Überwachung meldet sich selten, aber dann zu Recht. Eine schlechte meldet sich ständig – und wird deshalb irgendwann ignoriert.
 rahmenplan: [A8, A5, B3]
 lernfeld: LF11
 merksatz: Überwachen, was dem Nutzer wehtut. Warnen bei Trend, alarmieren bei Handlungsbedarf. Jeder Alarm braucht eine Handlung.
 karten:
  - frage: Was ist der Unterschied zwischen einer Warnung und einem kritischen Alarm?
    antwort: Eine Warnung zeigt, dass sich etwas in eine falsche Richtung entwickelt und bald Handlung nötig wird – etwa Platte zu 80 Prozent voll. Ein kritischer Alarm verlangt sofortiges Handeln – etwa Platte zu 95 Prozent voll oder Dienst ausgefallen.
  - frage: Was versteht man unter Alarmmüdigkeit, und wie vermeidet man sie?
    antwort: Wer zu viele unwichtige Alarme bekommt, beachtet irgendwann auch die wichtigen nicht mehr. Abhilfe – nur alarmieren, wenn eine Handlung nötig ist, Schwellwerte nach Erfahrung anpassen, Warnungen gesammelt statt einzeln zustellen.
  - frage: Warum überwacht man auch die Datensicherung und den Ablauf von Zertifikaten?
    antwort: Weil beide still ausfallen. Eine Sicherung, die seit Wochen fehlschlägt, merkt man erst beim Zurückspielen; ein abgelaufenes Zertifikat erst, wenn alle Nutzer eine Fehlermeldung bekommen.
 ---
 ## Das Wesentliche
 - **Von außen nach innen überwachen.** Zuerst, was der Nutzer merkt: Ist die Anwendung
  erreichbar, antwortet sie schnell genug? Dann die Ursachen darunter: Dienste, Prozessor,
  Arbeitsspeicher, Platte, Netz.
 - **Was nicht fehlen darf:** Erreichbarkeit, wichtige Dienste, Plattenplatz, Ergebnis der
  Datensicherung, Ablauf von Zertifikaten, Zustand von RAID und Platten (SMART), USV und
  Temperatur im Serverraum.
 - **Zwei Schwellen:** Warnung, wenn Zeit zum Handeln bleibt, kritisch, wenn sofort gehandelt
  werden muss. Eine Platte, die von 70 auf 90 Prozent in einer Woche wächst, ist schlimmer als
  eine, die seit einem Jahr bei 92 steht.
 - **Trends ansehen.** Eine Kurve über Wochen sagt mehr als der aktuelle Wert. Sie zeigt, wann
  die Platte voll sein wird, bevor sie es ist.
 - **Jeder Alarm braucht eine Handlung** und einen Empfänger. Ein Alarm, auf den niemand
  reagieren muss, ist eine Information und gehört in einen Bericht, nicht aufs Handy.
 - **Alarmmüdigkeit** ist die größte Gefahr. Wer täglich zwanzig unwichtige Meldungen bekommt,
  übersieht die eine wichtige.
 - **Die Überwachung überwachen.** Fällt das Überwachungssystem aus, ist alles still – und Stille
  sieht aus wie „alles in Ordnung". Ein externer Check oder ein täglicher Lebenszeichen-Alarm
  hilft.
 - **Werkzeuge:** Checkmk, Zabbix, PRTG für ganze Umgebungen, Uptime Kuma für einfache
  Erreichbarkeitsprüfungen. Wichtiger als das Werkzeug ist, was man damit überwacht.
 ## Übersicht
 | Prüfung | Warnung | Kritisch | Handlung |
 |---|---|---|---|
 | Plattenplatz | 80 % | 90 % | Aufräumen oder erweitern |
 | Webanwendung erreichbar | Antwort über 2 s | keine Antwort | Dienst und Server prüfen |
 | Datensicherung | ein Lauf fehlgeschlagen | zwei Läufe in Folge | Ursache finden, Lauf wiederholen |
 | Zertifikat | läuft in 30 Tagen ab | läuft in 7 Tagen ab | Verlängern |
 | RAID | – | Platte ausgefallen | Platte tauschen |
 | Temperatur Serverraum | 27 °C | 32 °C | Klimaanlage prüfen |
 ## Prüfungsfrage
 **Frage:** Ihr Ausbilder bittet Sie, eine Überwachung für den neuen Dateiserver einzurichten.
 Nennen Sie fünf Prüfungen mit sinnvollen Schwellwerten und begründen Sie, warum eine
 Überwachung nur des Prozessors nicht genügt.
 **Antwort:** Fünf aus: (1) Erreichbarkeit per Ping und SMB – kritisch bei Ausfall. (2)
 Plattenplatz je Laufwerk – Warnung 80 %, kritisch 90 %. (3) Ergebnis der nächtlichen Sicherung –
 Warnung bei einem, kritisch bei zwei fehlgeschlagenen Läufen. (4) Zustand von RAID und SMART –
 kritisch bei ausgefallener oder auffälliger Platte. (5) Arbeitsspeicher – Warnung über 85 %
 über längere Zeit. (6) Dienst „Server" bzw. Freigabedienst läuft. (7) Ablauf von Zertifikaten,
 falls verwendet. Der Prozessor allein genügt nicht, weil die häufigsten Ausfälle eines
 Dateiservers gar nicht mit Rechenlast zusammenhängen: Eine volle Platte, ein ausgefallener
 Dienst oder eine fehlgeschlagene Sicherung lassen die Prozessorlast unauffällig.
@@ -0,0 +1,61 @@
 ---
 id: V1
 titel: Virtualisierung – viele Server auf einer Maschine
 block: server
 woche: 9
 worum: Ein Hypervisor teilt einen physischen Rechner in viele virtuelle auf. Das spart Hardware, aber nur, wenn man die Ressourcen plant, statt sie zu verteilen, bis nichts mehr geht.
 rahmenplan: [B1, A8, A3]
 lernfeld: LF9
 merksatz: Typ 1 für Server, Typ 2 für den Schreibtisch. Ressourcen planen, Überbuchung bewusst entscheiden.
 karten:
  - frage: Was unterscheidet einen Hypervisor vom Typ 1 von einem vom Typ 2?
    antwort: Typ 1 läuft direkt auf der Hardware, ohne Betriebssystem darunter – etwa Proxmox VE, Hyper-V oder VMware ESXi. Typ 2 läuft als Programm auf einem normalen Betriebssystem – etwa VirtualBox. Server virtualisiert man mit Typ 1.
  - frage: Was bedeutet Überbuchung bei der Virtualisierung?
    antwort: Den virtuellen Maschinen zusammen mehr Prozessorkerne oder Arbeitsspeicher zuzuweisen, als physisch vorhanden ist. Bei Prozessoren ist das üblich, weil selten alle gleichzeitig rechnen; beim Arbeitsspeicher ist es riskant, weil der Host dann auslagern muss.
  - frage: Nenne drei Vorteile der Servervirtualisierung.
    antwort: Bessere Auslastung der Hardware, schnelle Bereitstellung neuer Server aus Vorlagen und die Möglichkeit, virtuelle Maschinen im laufenden Betrieb auf einen anderen Host zu verschieben. Ebenfalls richtig – Snapshots vor Änderungen und einfachere Testumgebungen.
 ---
 ## Das Wesentliche
 - **Der Hypervisor** verteilt Prozessor, Arbeitsspeicher, Speicher und Netz eines
  physischen Rechners (des **Hosts**) auf mehrere **virtuelle Maschinen** (VMs, auch
  **Gäste**). Jede VM glaubt, einen eigenen Rechner zu haben.
 - **Typ 1** („bare metal") läuft direkt auf der Hardware: Proxmox VE, Microsoft Hyper-V,
  VMware ESXi. Das ist die Wahl für Server.
 - **Typ 2** läuft als Programm auf Windows, Linux oder macOS: VirtualBox, VMware
  Workstation. Gut für Tests am Arbeitsplatz, nicht für den Betrieb.
 - **Ressourcen planen.** Eine VM bekommt so viel, wie sie braucht – nicht so viel, wie da
  ist. Zu viele virtuelle Prozessoren machen eine VM sogar langsamer, weil der Hypervisor
  sie gleichzeitig bereitstellen muss.
 - **Überbuchung:** Bei Prozessorkernen ist ein Verhältnis von mehreren virtuellen zu einem
  physischen Kern üblich. Arbeitsspeicher überbucht man höchstens bewusst und knapp.
 - **Ein Host ist ein einzelner Ausfallpunkt.** Fällt er aus, fallen alle VMs darauf aus.
  Abhilfe schafft ein Verbund aus mehreren Hosts mit gemeinsamem oder repliziertem Speicher,
  der VMs auf einen anderen Host umzieht.
 - **Container** (etwa Docker) sind leichter als VMs: Sie teilen sich den Kern des
  Host-Betriebssystems. Schneller und sparsamer, aber weniger stark voneinander getrennt.
 ## Übersicht
 | | Physischer Server | Virtuelle Maschine | Container |
 |---|---|---|---|
 | Eigenes Betriebssystem | ja | ja | nein, teilt den Kern des Hosts |
 | Bereitstellung | Tage bis Wochen | Minuten | Sekunden |
 | Trennung voneinander | vollständig | stark | schwächer |
 | Typischer Einsatz | Host selbst, Spezialhardware | Server aller Art | einzelne Anwendungen und Dienste |
 ## Prüfungsfrage
 **Frage:** Ein Betrieb betreibt fünf ältere physische Server mit geringer Auslastung und
 möchte sie virtualisieren. Nennen Sie zwei Vorteile und zwei Risiken und je eine Maßnahme
 gegen die Risiken.
 **Antwort:** Vorteile: (1) Weniger Hardware, Strom, Kühlung und Platz, weil ein oder zwei Hosts
 die Last der fünf Server tragen. (2) Neue Server lassen sich schnell aus Vorlagen bereitstellen,
 und vor Änderungen sind Snapshots möglich. Risiken: (1) Der Host wird zum einzelnen
 Ausfallpunkt – Maßnahme: zwei Hosts im Verbund mit gemeinsamem oder repliziertem Speicher,
 damit VMs bei einem Ausfall auf dem anderen Host weiterlaufen. (2) Die VMs teilen sich die
 Ressourcen; eine VM unter Last bremst die anderen – Maßnahme: Ressourcen vorab anhand der
 gemessenen Auslastung planen, Arbeitsspeicher nicht überbuchen und die Auslastung des Hosts
 überwachen.
@@ -0,0 +1,62 @@
 ---
 id: V2
 titel: Snapshots, virtuelle Netze und virtueller Speicher
 block: server
 woche: 9
 worum: Drei Dinge, die bei der Virtualisierung anders funktionieren als bei echter Hardware – und an denen man sich am häufigsten verschätzt.
 rahmenplan: [B1, B2, A9]
 lernfeld: LF9
 merksatz: Ein Snapshot ist ein Rückweg für Stunden, keine Sicherung für Wochen.
 karten:
  - frage: Warum ist ein Snapshot keine Datensicherung?
    antwort: Er liegt auf demselben Speicher wie die VM und hängt von ihrer Ausgangsdatei ab. Geht der Speicher kaputt, sind VM und Snapshot gemeinsam weg. Außerdem wächst er mit jeder Änderung und bremst die VM, je länger er besteht.
  - frage: Was ist der Unterschied zwischen Thin und Thick Provisioning?
    antwort: Beim Thin Provisioning belegt eine virtuelle Festplatte nur so viel Platz, wie tatsächlich beschrieben ist, und wächst mit. Beim Thick Provisioning wird die volle Größe sofort reserviert. Thin spart Platz, kann den Speicher aber unbemerkt volllaufen lassen.
  - frage: Wie kommt eine virtuelle Maschine ins echte Netz?
    antwort: Über einen virtuellen Switch auf dem Host, der mit einer physischen Netzwerkkarte verbunden ist. Die VM hängt am virtuellen Switch wie ein Rechner an einem echten Switch – auch VLANs lassen sich dort zuordnen.
 ---
 ## Das Wesentliche
 - **Snapshot:** ein eingefrorener Zustand der VM. Ab dem Snapshot schreibt die VM ihre
  Änderungen in eine eigene Datei; zurückgehen heißt, diese Datei zu verwerfen.
 - **Wofür Snapshots gut sind:** vor einem Update, einer Konfigurationsänderung, einem Test.
  Ist alles in Ordnung, wird der Snapshot **gelöscht** – das führt die Änderungen zurück in
  die eigentliche Festplattendatei.
 - **Wofür nicht:** als Sicherung. Er liegt auf demselben Speicher, hängt von der
  Ausgangsdatei ab und wird mit jedem Tag größer und langsamer.
 - **Bei Datenbanken und Domänencontrollern Vorsicht:** Ein Zurücksetzen kann die
  Daten durcheinanderbringen, wenn andere Systeme in der Zwischenzeit mit ihnen gearbeitet
  haben. Hier gilt, was der Hersteller dazu empfiehlt.
 - **Virtueller Switch:** verbindet die VMs untereinander und über eine physische
  Netzwerkkarte mit dem echten Netz. Ein Switch ohne physische Karte ergibt ein
  abgeschlossenes Netz – gut für Testumgebungen.
 - **Virtuelle Festplatten** sind Dateien auf dem Speicher des Hosts. **Thin** wächst mit,
  **thick** ist sofort voll belegt. Wer thin bereitstellt, muss den tatsächlichen
  Füllstand überwachen, sonst bleiben irgendwann alle VMs gleichzeitig stehen.
 - **Vorlagen:** Eine fertig eingerichtete VM wird zur Vorlage, aus der neue VMs entstehen.
  Bei Windows vorher mit Sysprep verallgemeinern, sonst haben alle Kopien dieselbe Kennung.
 ## Übersicht
 | Vorhaben | Passendes Werkzeug |
 |---|---|
 | Vor dem Update für zwei Stunden einen Rückweg haben | Snapshot, danach löschen |
 | Den Stand von letzter Woche wiederherstellen | Datensicherung |
 | Zehn gleiche Test-VMs bereitstellen | Vorlage |
 | Eine VM ohne Verbindung zum Firmennetz betreiben | Virtueller Switch ohne physische Karte |
 | Wissen, wann der Speicher voll ist | Überwachung des tatsächlichen Füllstands |
 ## Prüfungsfrage
 **Frage:** Auf einem Host laufen zehn VMs mit Thin-Provisioning, insgesamt 4 TB zugesagt auf
 einem Speicher von 2 TB. Ein Kollege hält das für unproblematisch, weil derzeit nur 1,2 TB
 belegt sind. Bewerten Sie das.
 **Antwort:** Die Zusage übersteigt den physischen Speicher um das Doppelte. Solange die VMs
 wenig schreiben, geht das gut; wachsen ihre Daten aber – etwa durch Protokolldateien, Updates
 oder einen Fehler, der eine Datei vollschreibt –, läuft der gemeinsame Speicher voll. Dann
 können **alle** VMs nicht mehr schreiben und bleiben stehen, nicht nur die verursachende. Die
 Überbuchung ist nur vertretbar mit einer Überwachung des tatsächlichen Füllstands mit
 Warnschwellen (etwa bei 70 und 85 Prozent), einem Plan zur Erweiterung des Speichers und
 dem Verzicht auf alte Snapshots, die zusätzlich Platz belegen.
@@ -0,0 +1,60 @@
 ---
 id: V3
 titel: Eine virtuelle Maschine planen und bereitstellen
 block: server
 woche: 9
 worum: Eine VM ist in fünf Minuten angelegt – und in fünf Jahren noch in Betrieb. Die Planung entscheidet, ob man sie dann noch versteht.
 rahmenplan: [B1, B3, A5]
 lernfeld: LF9
 merksatz: Zweck, Ressourcen, Netz, Sicherung, Verantwortlicher – vor dem Anlegen aufgeschrieben.
 karten:
  - frage: Welche Angaben gehören zu jeder VM in die Dokumentation?
    antwort: Zweck, Verantwortlicher, Betriebssystem, zugewiesene Ressourcen, Netz bzw. VLAN und IP-Adresse, Speicherort, ob und wie sie gesichert wird, und das Datum der Bereitstellung.
  - frage: Woran orientiert man sich bei den Ressourcen einer neuen VM?
    antwort: An den Mindestanforderungen der Software und an gemessenen Werten vergleichbarer Systeme – mit wenig Reserve beginnen und nach Messung erweitern. Erweitern geht leicht, Verkleinern oft nicht.
 ---
 ## Das Wesentliche
 - **Vorher aufschreiben:** Wofür ist die VM, wer ist verantwortlich, wie lange wird sie
  gebraucht? Eine VM ohne Verantwortlichen wird nie wieder abgeschaltet.
 - **Ressourcen nach Bedarf**, nicht nach Gefühl. Mindestanforderungen der Software, gemessene
  Werte vergleichbarer Systeme, etwas Reserve. Erweitern ist einfach, Verkleinern einer
  Festplatte oft nicht.
 - **Getrennte Festplatten** für System und Daten. Dann lassen sich Daten anders sichern,
  größer machen oder auf einen anderen Speicher legen.
 - **Netz bewusst wählen:** richtiger virtueller Switch, richtiges VLAN, feste IP-Adresse für
  Server, Eintrag im DNS.
 - **Gasterweiterungen installieren** (bei Proxmox der QEMU Guest Agent, bei Hyper-V die
  Integrationsdienste). Ohne sie fährt die VM nicht sauber herunter, und Sicherungen
  können inkonsistent werden.
 - **In die Sicherung aufnehmen**, bevor die VM in Betrieb geht – nicht, wenn die erste Datei
  verloren ist.
 - **Namen nach Regel:** Der Name sagt, was die VM tut und wo sie steht, etwa `SRV-DATEI-01`.
  `Test-neu-Peter` ist in einem halben Jahr ein Rätsel.
 ## Übersicht
 | Planungsfrage | Beispielantwort |
 |---|---|
 | Zweck | Dateiserver für die Verwaltung |
 | Verantwortlich | IT, Ansprechpartner: Ausbilder |
 | Betriebssystem | Windows Server 2025 Standard |
 | Prozessor / Arbeitsspeicher | 2 virtuelle Kerne / 8 GB |
 | Festplatten | 80 GB System, 500 GB Daten (thick) |
 | Netz | VLAN Server, 10.10.20.21, DNS-Eintrag `srv-datei-01` |
 | Sicherung | täglich inkrementell, wöchentlich voll |
 ## Prüfungsfrage
 **Frage:** Sie sollen für einen neuen Dienst eine VM bereitstellen. Beschreiben Sie die
 Schritte von der Anfrage bis zur Übergabe in den Betrieb.
 **Antwort:** (1) Anforderungen klären: Zweck, Verantwortlicher, benötigte Software und ihre
 Mindestanforderungen, Verfügbarkeitsbedarf. (2) Ressourcen, Festplatten, Netz bzw. VLAN und
 IP-Adresse planen und prüfen, ob der Host die Ressourcen hergibt. (3) Die VM aus einer Vorlage
 oder neu anlegen, Betriebssystem installieren, Gasterweiterungen und Updates einspielen.
 (4) Netzwerk, DNS-Eintrag und Zugriffsrechte einrichten, den Dienst installieren und testen.
 (5) Die VM in Sicherung und Überwachung aufnehmen und einen Wiederherstellungstest
 einplanen. (6) Alles dokumentieren und die VM mit Übergabe an den Verantwortlichen in Betrieb
 nehmen.
@@ -0,0 +1,63 @@
 ---
 id: V4
 titel: Active Directory – Domäne, Organisationseinheiten, Gruppen
 block: server
 woche: 10
 worum: Active Directory ist das Verzeichnis, in dem steht, wer jemand ist und was er darf. Seine Struktur entscheidet, ob es nach fünf Jahren noch beherrschbar ist.
 rahmenplan: [B3, A6, B1]
 lernfeld: LF10
 merksatz: OUs ordnen, Gruppen berechtigen. Konten in globale Gruppen, globale in domänenlokale, Rechte an die domänenlokalen.
 karten:
  - frage: Wozu dienen Organisationseinheiten und wozu Gruppen im Active Directory?
    antwort: Organisationseinheiten ordnen Objekte und sind der Ort, an dem Gruppenrichtlinien verknüpft und Verwaltungsaufgaben delegiert werden. Gruppen vergeben Berechtigungen. Ein Konto liegt in genau einer OU, kann aber in vielen Gruppen sein.
  - frage: Wofür steht AGDLP?
    antwort: Accounts in Global groups, Global groups in Domain Local groups, Permissions an die Domain Local groups. Die globale Gruppe beschreibt die Rolle (etwa Buchhaltung), die domänenlokale das Recht (etwa Ablage Buchhaltung ändern).
  - frage: Warum betreibt man mindestens zwei Domänencontroller?
    antwort: Weil ohne Domänencontroller niemand sich anmelden kann und die Namensauflösung oft ebenfalls ausfällt. Mit zwei Domänencontrollern übernimmt der zweite, wenn einer ausfällt oder gewartet wird.
 ---
 ## Das Wesentliche
 - **Die Domäne** ist der Verwaltungsbereich: Benutzer, Computer, Gruppen und Richtlinien an
  einer zentralen Stelle. Ein Rechner, der Mitglied der Domäne ist, lässt Anmeldungen mit
  Domänenkonten zu.
 - **Domänencontroller** halten das Verzeichnis und prüfen Anmeldungen. Mindestens zwei, damit
  ein Ausfall oder eine Wartung niemanden aussperrt.
 - **Active Directory braucht DNS.** Clients finden die Domänencontroller über DNS-Einträge.
  Ein Client mit falschem DNS-Server findet die Domäne nicht – die häufigste Ursache für
  „Domäne nicht verfügbar".
 - **Organisationseinheiten (OUs)** ordnen: nach Standort, nach Abteilung oder nach Art des
  Objekts. An OUs werden Gruppenrichtlinien verknüpft und Verwaltung delegiert. Konten und
  Computer gehören nicht in die Standardcontainer, sondern in eigene OUs.
 - **Gruppen berechtigen.** Die Struktur nach **AGDLP**: Konten (A) kommen in globale Gruppen
  nach Rolle (G), diese in domänenlokale Gruppen nach Recht (DL), und nur die domänenlokalen
  Gruppen bekommen Berechtigungen (P).
 - **Namen nach Regel:** `GG-Buchhaltung` für die Rolle, `DL-FS-Buchhaltung-Aendern` für das
  Recht. Aus dem Namen soll hervorgehen, wofür die Gruppe da ist.
 - **Ein Konto einrichten heißt nicht, einen Kollegen zu kopieren.** Wer kopiert, kopiert auch
  alle Rechte, die der Kollege über die Jahre angesammelt hat.
 ## Übersicht
 | Gruppenbereich | Mitglieder | Typischer Zweck |
 |---|---|---|
 | Global | Konten und globale Gruppen derselben Domäne | Rolle: Buchhaltung, Vertrieb, IT |
 | Domänenlokal | Konten und Gruppen aus allen Domänen | Recht an einer Ressource dieser Domäne |
 | Universal | Konten und Gruppen aus allen Domänen | Rollen über mehrere Domänen hinweg |
 In einem Betrieb mit einer einzigen Domäne genügen globale und domänenlokale Gruppen.
 ## Prüfungsfrage
 **Frage:** Die Mitarbeiter der Buchhaltung sollen auf der Freigabe `Buchhaltung` Dateien
 ändern dürfen, die Geschäftsführung soll sie nur lesen. Beschreiben Sie die Umsetzung nach
 AGDLP.
 **Antwort:** Konten der Buchhaltung kommen in die globale Gruppe `GG-Buchhaltung`, Konten der
 Geschäftsführung in `GG-Geschaeftsfuehrung`. Für die Rechte werden zwei domänenlokale Gruppen
 angelegt: `DL-FS-Buchhaltung-Aendern` und `DL-FS-Buchhaltung-Lesen`. `GG-Buchhaltung` wird
 Mitglied von `DL-FS-Buchhaltung-Aendern`, `GG-Geschaeftsfuehrung` Mitglied von
 `DL-FS-Buchhaltung-Lesen`. Nur die beiden domänenlokalen Gruppen erhalten NTFS-Berechtigungen
 auf dem Ordner – Ändern bzw. Lesen. Wechselt jemand die Abteilung, wird nur seine
 Mitgliedschaft in der globalen Gruppe geändert; an den Berechtigungen auf dem Ordner ändert
 sich nichts.
@@ -0,0 +1,64 @@
 ---
 id: V5
 titel: Gruppenrichtlinien – Einstellungen für alle auf einmal
 block: server
 woche: 10
 worum: Mit Gruppenrichtlinien setzt man Einstellungen zentral, statt sie an jedem Rechner von Hand vorzunehmen. Wer die Reihenfolge der Anwendung nicht kennt, sucht lange nach dem Grund, warum eine Einstellung nicht greift.
 rahmenplan: [B3, A6, A8]
 lernfeld: LF10
 merksatz: Lokal, Standort, Domäne, OU – was zuletzt kommt, gewinnt. gpresult sagt, was wirklich angekommen ist.
 karten:
  - frage: In welcher Reihenfolge werden Gruppenrichtlinien angewendet, und welche setzt sich durch?
    antwort: Lokal, Standort, Domäne, Organisationseinheit (von oben nach unten) – kurz LSDOU. Bei widersprüchlichen Einstellungen gewinnt die zuletzt angewendete, also die der untersten OU – es sei denn, eine höhere Richtlinie ist als erzwungen markiert.
  - frage: Mit welchen Befehlen prüft und erzwingt man die Anwendung von Gruppenrichtlinien auf einem Client?
    antwort: gpupdate /force wendet die Richtlinien sofort neu an. gpresult /r zeigt, welche Richtlinien für Computer und Benutzer tatsächlich angewendet oder herausgefiltert wurden.
  - frage: Was ist der Unterschied zwischen Computer- und Benutzerkonfiguration einer Gruppenrichtlinie?
    antwort: Die Computerkonfiguration wirkt auf Computerkonten und greift beim Start des Rechners, die Benutzerkonfiguration wirkt auf Benutzerkonten und greift bei der Anmeldung. Eine Richtlinie mit Benutzereinstellungen an einer OU, die nur Computer enthält, bewirkt deshalb nichts.
 ---
 ## Das Wesentliche
 - **Ein Gruppenrichtlinienobjekt (GPO)** bündelt Einstellungen – etwa Bildschirmsperre,
  Laufwerkszuordnungen, Updates, Sicherheitsoptionen – und wird an einen Standort, die
  Domäne oder eine OU **verknüpft**.
 - **Computer- und Benutzerkonfiguration:** Die eine wirkt auf Rechner beim Start, die andere
  auf Benutzer bei der Anmeldung. Wirksam wird nur, was zu den Objekten in der verknüpften OU
  passt.
 - **Reihenfolge LSDOU:** lokal, Standort, Domäne, OU, bei geschachtelten OUs von oben nach
  unten. Was später kommt, überschreibt Früheres.
 - **Ausnahmen:** Eine als **erzwungen** markierte Verknüpfung setzt sich gegen tiefere durch.
  An einer OU lässt sich die **Vererbung deaktivieren**. Beides sparsam einsetzen – jede
  Ausnahme ist eine Stelle, an der man später sucht.
 - **Filtern** nach Sicherheitsgruppe, wenn eine Richtlinie nur für einen Teil der Objekte
  gelten soll – statt dafür eine eigene OU anzulegen.
 - **Aktualisierung:** Clients holen Richtlinien beim Start, bei der Anmeldung und danach etwa
  alle 90 Minuten. Manche Einstellungen, etwa Softwareverteilung, greifen erst nach Neustart
  oder Neuanmeldung.
 - **Prüfen statt raten:** `gpresult /r` zeigt am Client, was angekommen ist und was
  herausgefiltert wurde. `gpupdate /force` wendet sofort neu an.
 - **Eine Richtlinie, ein Zweck.** `GPO-Clients-Bildschirmsperre` ist auffindbar und
  abschaltbar; eine Richtlinie mit 80 gemischten Einstellungen ist es nicht.
 ## Übersicht
 | Vorhaben | Wo einstellen |
 |---|---|
 | Bildschirmsperre nach 10 Minuten für alle Clients | Computerkonfiguration, verknüpft an die OU der Clients |
 | Laufwerk `S:` für die Buchhaltung | Benutzerkonfiguration (Einstellungen), gefiltert auf die Gruppe der Buchhaltung |
 | Kennwortrichtlinie der Domäne | Standard-Domänenrichtlinie |
 | Ausnahme für einen einzelnen Testrechner | Eigene OU oder Filterung – nicht die Vererbung für alle abschalten |
 ## Prüfungsfrage
 **Frage:** Eine neue Gruppenrichtlinie für eine Bildschirmsperre wirkt auf den Rechnern der
 Verwaltung nicht. Beschreiben Sie Ihr Vorgehen bei der Fehlersuche.
 **Antwort:** (1) Prüfen, ob die Richtlinie an die richtige OU verknüpft und die Verknüpfung
 aktiviert ist – und ob die Rechner tatsächlich in dieser OU liegen. (2) Prüfen, ob die
 Einstellung im passenden Teil steht: Liegen in der OU nur Computerkonten, muss sie in der
 Computerkonfiguration stehen. (3) Am Client `gpupdate /force` ausführen, ggf. neu starten,
 und mit `gpresult /r` prüfen, ob die Richtlinie angewendet oder herausgefiltert wurde –
 etwa durch eine Sicherheitsfilterung. (4) Prüfen, ob eine später angewendete oder erzwungene
 Richtlinie die Einstellung überschreibt oder die Vererbung an einer OU deaktiviert ist.
 (5) Bei Fehlern in `gpresult` die Erreichbarkeit des Domänencontrollers und die
 DNS-Einstellungen des Clients prüfen.
@@ -0,0 +1,66 @@
 ---
 id: V6
 titel: Datei- und Druckdienste zentral bereitstellen
 block: server
 woche: 10
 worum: Ein zentraler Dateiserver und ein Druckserver sind unspektakulär – solange sie geplant sind. Ungeplant werden sie zur größten Rumpelkammer im Betrieb.
 rahmenplan: [B3, A9, A8]
 lernfeld: LF10
 merksatz: Struktur nach Abteilungen, Rechte nach Gruppen, Laufwerke per Richtlinie, Treiber nur von der IT.
 karten:
  - frage: Was sind Schattenkopien auf einem Dateiserver, und ersetzen sie die Datensicherung?
    antwort: Zeitpunktkopien eines Laufwerks, über die Benutzer selbst frühere Fassungen einer Datei zurückholen können (Vorgängerversionen). Sie liegen auf demselben Laufwerk und ersetzen deshalb keine Datensicherung.
  - frage: Welchen Vorteil hat ein Druckserver gegenüber direkt verbundenen Druckern an jedem Client?
    antwort: Treiber, Warteschlangen und Einstellungen werden an einer Stelle gepflegt und per Gruppenrichtlinie verteilt. Ein Treiberwechsel oder ein neuer Drucker muss nicht an jedem Rechner einzeln eingerichtet werden.
  - frage: Warum ordnet man Laufwerke per Gruppenrichtlinie statt per Hand zu?
    antwort: Weil die Zuordnung dann für alle gleich ist, sich nach Gruppenzugehörigkeit richtet und bei einem Abteilungswechsel von selbst angepasst wird. Handzuordnungen sind nach dem ersten Rechnerwechsel weg.
 ---
 ## Das Wesentliche
 - **Eine Ablagestruktur, die der Betrieb versteht:** oben die Abteilungen, darunter, was die
  Abteilung selbst gliedert. Dazu ein Bereich für abteilungsübergreifende Projekte und ein
  Austauschordner, der regelmäßig geleert wird.
 - **Rechte nach AGDLP** und so flach wie möglich: Berechtigungen auf der obersten Ebene einer
  Abteilung setzen und vererben lassen. Jede Unterbrechung der Vererbung tiefer unten ist
  eine künftige Supportanfrage.
 - **Freigabe und NTFS:** Freigabe meist „Authentifizierte Benutzer – Ändern" oder
  „Vollzugriff", die eigentliche Steuerung über NTFS. Siehe Handout S2.
 - **Laufwerke per Gruppenrichtlinie** zuordnen, gefiltert auf die Gruppe. Dann bekommt jeder
  genau die Laufwerke seiner Rolle – auch am neuen Rechner.
 - **Schattenkopien** einschalten: Benutzer holen versehentlich überschriebene Dateien selbst
  zurück. Sie ersetzen keine Sicherung, sparen aber viele Tickets.
 - **Kontingente und Dateiprüfung** verhindern, dass ein einzelner Ordner den Server füllt –
  oder dass dort private Videosammlungen landen.
 - **Druckserver:** Drucker zentral einrichten, Treiber zentral pflegen, Zuordnung per
  Richtlinie. Standardbenutzer dürfen Druckertreiber seit 2021 nicht mehr ohne Weiteres selbst
  installieren – Treiber verteilt deshalb die IT.
 - **Drucker an Standorte binden**, nicht an Personen: Wer im Lager arbeitet, braucht den
  Drucker im Lager, egal an welchem Rechner.
 ## Übersicht
 ```
 \\srv-datei-01\Daten
 ├── Buchhaltung      DL-FS-Buchhaltung-Aendern / -Lesen
 ├── Einkauf          DL-FS-Einkauf-Aendern / -Lesen
 ├── Vertrieb         DL-FS-Vertrieb-Aendern / -Lesen
 ├── Projekte         je Projekt eine eigene Gruppe
 ├── Vorlagen         alle lesen, nur Verwaltung ändert
 └── Austausch        alle ändern, wird jeden Freitag geleert
 ```
 ## Prüfungsfrage
 **Frage:** Eine Mitarbeiterin hat am Vormittag eine wichtige Tabelle auf dem Dateiserver
 versehentlich überschrieben. Welche Möglichkeiten der Wiederherstellung gibt es, und in
 welcher Reihenfolge prüfen Sie sie?
 **Antwort:** (1) Schattenkopien: Sind sie eingeschaltet, kann die Mitarbeiterin über
 „Vorgängerversionen" im Eigenschaftendialog selbst die letzte Fassung vor der Änderung
 zurückholen – am schnellsten und ohne Eingriff der IT. (2) Programmeigene Versionen, etwa die
 Versionsverwaltung der Anwendung oder automatisch gespeicherte Fassungen. (3) Die
 Datensicherung: Die Datei wird aus der letzten Sicherung vor dem Überschreiben
 wiederhergestellt, am besten unter einem anderen Namen, damit die Mitarbeiterin vergleichen
 kann. Die Reihenfolge folgt dem Aufwand und der Aktualität: Eine Schattenkopie vom Vormittag
 ist näher am verlorenen Stand als die Sicherung der letzten Nacht.
@@ -0,0 +1,90 @@
 id: woche-09
 woche: 9
 titel: Lernzielkontrolle Woche 9 – Virtualisierung
 dauer_minuten: 40
 hinweis: >-
  Offene Fragen. Produktnamen sind als Beispiel willkommen, aber nicht
  gefordert – es zählt das Prinzip.
 fragen:
  - id: f1
    frage: >-
      Erklären Sie den Unterschied zwischen einem Hypervisor vom Typ 1 und vom
      Typ 2 und nennen Sie je einen typischen Einsatz.
    punkte: 5
    musterloesung: >-
      Typ 1 läuft direkt auf der Hardware ohne darunterliegendes Betriebssystem
      und verwaltet die Ressourcen selbst – Einsatz: Servervirtualisierung im
      Rechenzentrum, z. B. Proxmox VE, Hyper-V, VMware ESXi. Typ 2 läuft als
      Anwendung auf einem Wirtsbetriebssystem – Einsatz: Test- und
      Schulungsumgebungen am Arbeitsplatz, z. B. VirtualBox. (Unterschied 3 P.,
      Einsatz je 1 P.)
  - id: f2
    frage: >-
      Ein Kollege möchte vor einem Update einen Snapshot anlegen und ihn
      „sicherheitshalber" die nächsten drei Monate behalten. Was raten Sie ihm,
      und warum?
    punkte: 6
    musterloesung: >-
      Den Snapshot vor dem Update anlegen ist richtig. Nach einer kurzen
      Beobachtungszeit, wenn das Update fehlerfrei läuft, sollte er ihn aber
      löschen: Der Snapshot wächst mit jeder Änderung, belegt Speicher und
      verlangsamt die VM; außerdem hängt er von der Ausgangsdatei ab und liegt
      auf demselben Speicher, schützt also nicht vor dessen Ausfall. Für einen
      Rückweg über Wochen ist die Datensicherung zuständig. (Empfehlung 2 P.,
      Begründung 4 P.)
  - id: f3
    frage: >-
      Ein Host hat 16 physische Kerne und 128 GB Arbeitsspeicher. Darauf sollen
      zwölf VMs mit je 4 virtuellen Kernen und 12 GB laufen. Beurteilen Sie die
      Planung.
    punkte: 6
    musterloesung: >-
      Prozessor: 48 virtuelle auf 16 physische Kerne, also 3 zu 1 überbucht. Das
      ist bei Servern mit gemischter Last üblich und meist unproblematisch,
      sollte aber anhand der Auslastung beobachtet werden. Arbeitsspeicher:
      12 × 12 GB = 144 GB bei 128 GB physisch – überbucht, zumal der Host selbst
      ebenfalls Speicher braucht. Das führt zu Auslagerung und spürbaren
      Einbrüchen. Abhilfe: Speicher je VM nach gemessenem Bedarf verringern,
      Arbeitsspeicher aufrüsten oder VMs auf einen zweiten Host verteilen.
      (Prozessor 2 P., Speicher mit Rechnung 3 P., Abhilfe 1 P.)
  - id: f4
    frage: >-
      Was versteht man unter Thin Provisioning, und welches Risiko entsteht
      dabei? Nennen Sie eine Gegenmaßnahme.
    punkte: 5
    musterloesung: >-
      Eine virtuelle Festplatte belegt nur den tatsächlich beschriebenen Platz
      und wächst bei Bedarf bis zur zugesagten Größe. Werden insgesamt mehr
      zugesagt als physisch vorhanden, kann der Speicher volllaufen; dann
      bleiben alle VMs auf diesem Speicher stehen. Gegenmaßnahme: den
      tatsächlichen Füllstand überwachen und bei Warnschwellen rechtzeitig
      erweitern oder aufräumen. (Begriff 2 P., Risiko 2 P., Maßnahme 1 P.)
  - id: f5
    frage: >-
      Nennen Sie vier Angaben, die zu jeder virtuellen Maschine dokumentiert
      werden sollten, und begründen Sie eine davon.
    punkte: 5
    musterloesung: >-
      Vier aus: Zweck, Verantwortlicher, Betriebssystem, Ressourcen, Netz bzw.
      VLAN und IP-Adresse, Speicherort, Sicherung, Datum der Bereitstellung.
      Beispielbegründung Verantwortlicher: Ohne ihn weiß niemand, ob die VM noch
      gebraucht wird, wer Änderungen freigibt und wen man bei einer Störung
      fragt – solche VMs werden nie abgeschaltet und nie gepflegt.
      (Je Angabe 1 P., Begründung 1 P.)
  - id: f6
    frage: >-
      Worin unterscheidet sich ein Container von einer virtuellen Maschine?
    punkte: 4
    musterloesung: >-
      Eine virtuelle Maschine hat ein vollständiges eigenes Betriebssystem auf
      virtueller Hardware. Ein Container teilt sich den Kern des
      Host-Betriebssystems und bringt nur die Anwendung mit ihren
      Abhängigkeiten mit. Container starten dadurch schneller und brauchen
      weniger Ressourcen, sind aber weniger stark voneinander getrennt.
      (Unterschied 2 P., Folgen 2 P.)
@@ -0,0 +1,95 @@
 id: woche-11
 woche: 11
 titel: Lernzielkontrolle Woche 11 – Netze trennen und verbinden
 dauer_minuten: 45
 hinweis: >-
  Offene Fragen. Bei Rechen- und Zuordnungsaufgaben zählt die Begründung.
 fragen:
  - id: f1
    frage: >-
      Erklären Sie den Unterschied zwischen einem Access-Port und einem
      Trunk-Port und nennen Sie je ein Gerät, das typischerweise daran
      angeschlossen wird.
    punkte: 5
    musterloesung: >-
      Ein Access-Port gehört zu genau einem VLAN und überträgt Rahmen ohne
      VLAN-Markierung; angeschlossen wird ein Endgerät wie ein Arbeitsplatzrechner
      oder Drucker. Ein Trunk-Port überträgt mehrere VLANs und markiert die Rahmen
      nach IEEE 802.1Q mit der VLAN-ID; angeschlossen werden ein weiterer Switch,
      ein Router bzw. eine Firewall oder ein Access Point mit mehreren
      Funknetzen. (Unterschied 3 P., Geräte je 1 P.)
  - id: f2
    frage: >-
      Aus 10.20.0.0/24 sollen drei VLANs mit je höchstens 50 Geräten versorgt
      werden. Geben Sie für jedes VLAN Netzadresse, Maske und Gateway an.
    punkte: 6
    musterloesung: >-
      50 Geräte brauchen 52 Adressen, also Blockgröße 64 (/26) mit 62 nutzbaren.
      VLAN A: 10.20.0.0/26, Gateway 10.20.0.1. VLAN B: 10.20.0.64/26, Gateway
      10.20.0.65. VLAN C: 10.20.0.128/26, Gateway 10.20.0.129. Ein Block
      (10.20.0.192/26) bleibt als Reserve. Als Gateway ist auch die jeweils
      letzte nutzbare Adresse richtig, wenn die Wahl einheitlich ist.
      (Maske mit Begründung 2 P., je VLAN 1 P., Reserve erkannt 1 P.)
  - id: f3
    frage: >-
      Eine Firewall hat für das Gästenetz folgende Regeln in dieser Reihenfolge:
      (1) Gäste nach beliebig, HTTP und HTTPS – erlauben.
      (2) Gäste nach 10.10.0.0/16, alle Dienste – blockieren.
      (3) Gäste nach Firewall, DNS – erlauben.
      (4) beliebig nach beliebig – blockieren.
      Ein Gast ruft https://10.10.20.21 auf, einen internen Server. Was passiert,
      und wie beheben Sie den Fehler?
    punkte: 6
    musterloesung: >-
      Die Verbindung wird erlaubt: Regeln werden von oben nach unten geprüft, und
      die erste passende entscheidet. HTTPS an eine beliebige Adresse passt auf
      Regel 1, Regel 2 wird nie erreicht. Behebung: Die Sperre der internen Netze
      muss vor der allgemeinen Erlaubnis stehen. Die DNS-Regel gehört an den
      Anfang: Liegt die Adresse der Firewall im Gästenetz ebenfalls in
      10.10.0.0/16, würde die Sperre sonst auch die Namensauflösung blockieren.
      Richtige Reihenfolge also 3, 2, 1, 4. (Ergebnis 2 P., Begründung 2 P.,
      Behebung 2 P. – die Reihenfolge 2, 3, 1, 4 gibt 1 P., wenn die Sperre vor der
      Erlaubnis erkannt ist.)
  - id: f4
    frage: >-
      Ein Router kennt die Routen 0.0.0.0/0 über 192.0.2.1 und 172.16.0.0/12 über
      10.0.0.2 sowie 172.16.5.0/24 über 10.0.0.3. Wohin gehen Pakete an
      172.16.5.20, 172.20.1.1 und 172.32.0.1?
    punkte: 6
    musterloesung: >-
      172.16.5.20 passt auf alle drei Routen; die genaueste ist 172.16.5.0/24,
      also über 10.0.0.3. 172.20.1.1 liegt in 172.16.0.0/12 (172.16.0.0 bis
      172.31.255.255), also über 10.0.0.2. 172.32.0.1 liegt außerhalb davon und
      passt nur auf die Standardroute, also über 192.0.2.1. (Je Ziel 2 P.)
  - id: f5
    frage: >-
      Warum ist WPA2/WPA3-Enterprise für ein Firmen-WLAN besser geeignet als ein
      gemeinsamer Schlüssel? Nennen Sie zwei Gründe.
    punkte: 4
    musterloesung: >-
      (1) Jeder meldet sich mit eigenen Zugangsdaten oder einem Zertifikat an; beim
      Ausscheiden eines Mitarbeiters wird nur dessen Zugang gesperrt, statt den
      Schlüssel für alle zu ändern. (2) Anmeldungen lassen sich einer Person
      zuordnen und protokollieren. Ebenfalls richtig: Der Zugang lässt sich an
      Gruppen im Verzeichnisdienst koppeln und einem VLAN zuweisen; ein
      weitergegebener Schlüssel öffnet nicht das ganze Netz. (Je Grund 2 P.)
  - id: f6
    frage: >-
      Im Lager ist das WLAN trotz voller Sendeleistung der beiden Access Points
      schlecht. Nennen Sie drei mögliche Ursachen und je eine Maßnahme.
    punkte: 6
    musterloesung: >-
      Drei aus: (1) Dämpfung durch Stahlregale und Waren – Ausleuchtung messen und
      zusätzliche Access Points an den Gängen anbringen. (2) Beide Access Points
      auf demselben oder einem überlappenden Kanal im 2,4-GHz-Band – auf 1, 6 und
      11 verteilen oder 5 GHz nutzen. (3) Zu hohe Sendeleistung, Endgeräte
      bleiben am fernen Access Point hängen – Sendeleistung senken, mehr Access
      Points. (4) Störungen durch Fremdnetze oder Geräte – Kanalwahl anhand einer
      Messung. (5) Veraltete Endgeräte, die nur 2,4 GHz oder alte Standards können –
      Geräte tauschen oder ein eigenes Funknetz dafür. (Je Ursache mit Maßnahme 2 P.)
@@ -0,0 +1,79 @@
 id: woche-13
 woche: 13
 titel: Lernzielkontrolle Woche 13 – Linux-Grundlagen
 dauer_minuten: 40
 hinweis: >-
  Offene Fragen. Befehle dürfen mit oder ohne sudo geschrieben werden, wenn
  aus der Antwort hervorgeht, dass Administratorrechte nötig sind.
 fragen:
  - id: f1
    frage: >-
      Nennen Sie die Verzeichnisse, in denen unter Linux (a) die Konfiguration
      des SSH-Servers, (b) die Protokolldateien und (c) die Heimatverzeichnisse
      der Benutzer liegen.
    punkte: 3
    musterloesung: >-
      (a) /etc/ssh, die Datei heißt sshd_config. (b) /var/log, ergänzend das
      Journal von systemd. (c) /home, für den Administrator /root. (Je 1 P.)
  - id: f2
    frage: >-
      Die Ausgabe von ls -l lautet: -rwxr-x--- 1 lena technik pruefen.sh.
      Erklären Sie die Rechte und geben Sie den passenden chmod-Befehl als Zahl an.
    punkte: 5
    musterloesung: >-
      Es handelt sich um eine Datei (erstes Zeichen „-"). Besitzerin lena darf
      lesen, schreiben und ausführen (rwx = 7). Die Gruppe technik darf lesen
      und ausführen (r-x = 5). Alle anderen dürfen nichts (--- = 0). Befehl:
      chmod 750 pruefen.sh. (Besitzer 1 P., Gruppe 1 P., andere 1 P., Befehl 2 P.)
  - id: f3
    frage: >-
      Ein Benutzer soll zusätzlich in die Gruppe docker aufgenommen werden.
      Ein Kollege schlägt sudo usermod -G docker anna vor. Was ist daran falsch?
    punkte: 4
    musterloesung: >-
      Ohne die Option -a ersetzt -G alle bisherigen Zusatzgruppen durch die
      angegebene – anna verlöre also etwa die Gruppe sudo oder ihre
      Abteilungsgruppen. Richtig ist sudo usermod -aG docker anna. Die
      Änderung wird erst nach erneuter Anmeldung wirksam. (Fehler 2 P., richtiger
      Befehl 1 P., Hinweis auf Neuanmeldung 1 P.)
  - id: f4
    frage: >-
      Der Webserver nginx startet nach einer Änderung nicht mehr. Mit welchen
      zwei Befehlen finden Sie die Ursache, und was zeigen sie?
    punkte: 4
    musterloesung: >-
      systemctl status nginx zeigt den Zustand des Dienstes und die letzten
      Protokollzeilen, oft schon mit der Fehlermeldung. journalctl -u nginx -b
      zeigt alle Meldungen des Dienstes seit dem letzten Systemstart.
      Ebenfalls richtig: nginx -t prüft die Konfiguration und nennt Datei und
      Zeile des Fehlers. (Je Befehl mit Erklärung 2 P.)
  - id: f5
    frage: >-
      Beschreiben Sie, wie Sie einen Server so einrichten, dass die Anmeldung per
      SSH nur noch mit Schlüssel möglich ist, und worauf Sie dabei achten, um sich
      nicht auszusperren.
    punkte: 6
    musterloesung: >-
      Auf dem eigenen Rechner mit ssh-keygen ein Schlüsselpaar erzeugen und den
      öffentlichen Schlüssel mit ssh-copy-id beim Benutzer auf dem Server
      hinterlegen. Die Anmeldung mit Schlüssel testen. Dann in
      /etc/ssh/sshd_config PasswordAuthentication no und PermitRootLogin no
      setzen und den Dienst neu laden. Gegen das Aussperren: die bestehende
      Sitzung offen lassen und in einer zweiten Sitzung testen; außerdem den
      Konsolenzugang über Hypervisor oder Fernwartungskarte als Notausgang
      bereithalten. (Schlüssel 2 P., Konfiguration 2 P., Schutz vor Aussperren 2 P.)
  - id: f6
    frage: >-
      Was unterscheidet systemctl start nginx von systemctl enable nginx?
    punkte: 3
    musterloesung: >-
      start startet den Dienst sofort, ohne dass er beim nächsten Systemstart
      wieder mitstartet. enable sorgt dafür, dass er bei jedem Systemstart
      gestartet wird, startet ihn aber nicht sofort. enable --now erledigt beides.
      (Je Befehl 1 P., enable --now 1 P.)
@@ -0,0 +1,94 @@
 id: woche-15
 woche: 15
 titel: Lernzielkontrolle Woche 15 – Serviceanfragen bearbeiten
 dauer_minuten: 40
 hinweis: >-
  Offene Fragen. Es zählt die Begründung – bei Priorisierungen sind auch
  abweichende Einstufungen richtig, wenn sie schlüssig begründet sind.
 fragen:
  - id: f1
    frage: >-
      Ordnen Sie zu und begründen Sie kurz, ob es sich um eine Störung, eine
      Serviceanfrage, ein Problem oder eine Änderung handelt: (a) Ein neuer
      Mitarbeiter braucht ein Konto. (b) Das VPN bricht bei allen
      Außendienstlern seit drei Wochen jeden Montag ab. (c) Die Firewall soll eine
      neue Firmware bekommen. (d) Ein Nutzer kann keine Mails mehr senden.
    punkte: 8
    musterloesung: >-
      (a) Serviceanfrage – nichts ist kaputt, verlangt wird eine vorgesehene
      Standardleistung. (b) Problem – eine wiederkehrende Ursache hinter vielen
      Störungen, die dauerhaft beseitigt werden muss; die einzelnen Meldungen
      sind jeweils Störungen. (c) Änderung – ein geplanter Eingriff in ein
      laufendes System, der bewertet, freigegeben und mit Rückweg umgesetzt
      wird. (d) Störung – eine ungeplante Beeinträchtigung, Ziel ist die schnelle
      Wiederherstellung. (Je Zuordnung mit Begründung 2 P.)
  - id: f2
    frage: >-
      Erklären Sie, wie die Priorität eines Tickets ermittelt wird, und wenden Sie
      das auf folgenden Fall an: Der Server mit der Lohnbuchhaltung ist am
      Tag vor der Gehaltsabrechnung nicht erreichbar.
    punkte: 6
    musterloesung: >-
      Die Priorität ergibt sich aus Auswirkung (wie viele Nutzer bzw. wie
      wichtige Abläufe) und Dringlichkeit (wie schnell entsteht Schaden, gibt es
      eine Umgehung), die in einer Matrix verknüpft werden. Fall: Die Auswirkung
      ist hoch, weil die Gehaltszahlung aller Beschäftigten betroffen ist und
      gesetzliche bzw. vertragliche Fristen drohen. Die Dringlichkeit ist hoch,
      weil die Abrechnung am nächsten Tag laufen muss und es keine Umgehung
      gibt. Ergebnis: höchste Priorität (P1). (Verfahren 2 P., Auswirkung 2 P.,
      Dringlichkeit und Ergebnis 2 P.)
  - id: f3
    frage: >-
      Was ist der Unterschied zwischen funktionaler und hierarchischer
      Eskalation? Nennen Sie je ein Beispiel.
    punkte: 4
    musterloesung: >-
      Funktional: Weitergabe an eine Stelle mit mehr Fachwissen, z. B. vom
      ersten Level an den Netzwerkadministrator, weil die Ursache im Switch
      liegt. Hierarchisch: Einbeziehung der Führungsebene, z. B. weil die
      vereinbarte Lösungszeit nicht zu halten ist oder für die Lösung eine
      Anschaffung freigegeben werden muss. (Je Begriff mit Beispiel 2 P.)
  - id: f4
    frage: >-
      Was ist ein Workaround, und warum wird ein Ticket geschlossen, sobald er
      greift, obwohl die Ursache noch besteht?
    punkte: 4
    musterloesung: >-
      Ein Workaround ist eine Umgehung, mit der der Nutzer weiterarbeiten kann,
      obwohl die Ursache noch nicht beseitigt ist. Die Störung wird geschlossen,
      weil ihr Ziel – die Arbeitsfähigkeit des Nutzers – erreicht ist. Die
      Ursache wird getrennt im zugehörigen Problem weiterverfolgt; so bleibt
      sichtbar, dass noch etwas offen ist, ohne dass das Ticket des Nutzers
      wochenlang offen steht. (Begriff 2 P., Begründung 2 P.)
  - id: f5
    frage: >-
      Nennen Sie fünf Angaben, die vor einer normalen Änderung feststehen
      müssen.
    punkte: 5
    musterloesung: >-
      Fünf aus: Beschreibung der Änderung; Grund bzw. Ziel; betroffene Systeme
      und Nutzer; Risikoeinschätzung; Rückweg; Sicherung bzw. Snapshot vorher;
      Freigabe durch die zuständige Person; Zeitpunkt bzw. Wartungsfenster;
      Ankündigung an die Betroffenen; Verantwortlicher für die Umsetzung;
      Kriterien, an denen der Erfolg geprüft wird. (Je Angabe 1 P.)
  - id: f6
    frage: >-
      Formulieren Sie den Titel und die Gliederung eines Wissensartikels zu
      folgender Störung: Nutzer können nach dem Kennwortwechsel nicht mehr auf
      ihr Netzlaufwerk zugreifen, weil Windows noch das alte Kennwort gespeichert
      hat.
    punkte: 5
    musterloesung: >-
      Titel nach dem Symptom in Nutzersprache, z. B. „Netzlaufwerk nach
      Kennwortwechsel nicht erreichbar – Zugriff verweigert". Gliederung: Gilt
      für (Windows-Version, betroffene Laufwerke); Symptom mit Fehlermeldung im
      Wortlaut; Ursache (altes Kennwort in der Anmeldeinformationsverwaltung
      gespeichert); Lösung in Schritten (Eintrag entfernen, neu anmelden bzw.
      Laufwerk neu verbinden); Prüfen; Stand und Verfasser. (Titel 2 P.,
      Gliederung 3 P.)
@@ -0,0 +1,202 @@
 id: woche-16
 woche: 16
 titel: Probeprüfung Teil 1 – Einrichten eines IT-gestützten Arbeitsplatzes
 dauer_minuten: 90
 hinweis: >-
  Nachempfunden dem Aufbau von Teil 1 der Abschlussprüfung, keine Original-
  aufgabe der Kammer. Ausgangslage für alle Aufgaben: Die Muster GmbH, ein
  Betrieb mit 130 Beschäftigten, richtet für ihre neue Abteilung
  Qualitätssicherung fünf Bildschirmarbeitsplätze und ein Abteilungs-NAS ein.
  Sie unterstützen die IT-Abteilung. Hilfsmittel – ein nicht
  programmierbarer Taschenrechner. Bei Rechenaufgaben zählt der Rechenweg.
 fragen:
  - id: f1
    frage: >-
      Die Abteilungsleiterin sagt: „Wir brauchen schnelle, moderne Rechner."
      Nennen Sie drei Fragen, die Sie ihr stellen, bevor Sie Angebote einholen,
      und formulieren Sie eine der Antworten als prüfbare Muss-Anforderung.
    punkte: 8
    musterloesung: >-
      Drei aus: Welche Anwendungen laufen darauf (z. B. Mess- oder
      CAD-Software und deren Systemanforderungen)? Werden große Datenmengen
      verarbeitet oder Messgeräte angeschlossen – welche Schnittstellen? Wird
      mobil gearbeitet? Wie viele Bildschirme, welche Größe? Budget und
      Termin? Gibt es Vorgaben zu Lautstärke oder Datenschutz? (Je Frage 2 P.)
      Beispiel einer prüfbaren Muss-Anforderung: „Die Messsoftware öffnet ein
      Prüfprotokoll mit 10.000 Messpunkten in weniger als 5 Sekunden." oder
      „Jeder Arbeitsplatz hat zwei 27-Zoll-Bildschirme mit mindestens 2560 × 1440
      Bildpunkten." (2 P., nur wenn prüfbar formuliert)
  - id: f2
    frage: >-
      Für die fünf Arbeitsplätze werden je ein Bildschirm benötigt. Ein Händler
      bietet ihn zum Listenpreis von 289,00 € netto je Stück an, gewährt 12 %
      Rabatt und 2 % Skonto bei Zahlung innerhalb von 10 Tagen. Die
      Versandkosten betragen pauschal 19,90 €. Berechnen Sie den Bezugspreis für
      alle fünf Bildschirme.
    punkte: 10
    musterloesung: >-
      Listeneinkaufspreis 5 × 289,00 € = 1.445,00 €. Rabatt 12 % = 173,40 €,
      Zieleinkaufspreis 1.271,60 €. Skonto 2 % vom Zieleinkaufspreis = 25,43 €,
      Bareinkaufspreis 1.246,17 €. Bezugskosten 19,90 €. Bezugspreis
      1.266,07 € netto. (Listenpreis 1 P., Rabatt und Zieleinkaufspreis 3 P.,
      Skonto vom richtigen Betrag und Bareinkaufspreis 3 P., Bezugspreis 3 P.)
  - id: f3
    frage: >-
      Je Arbeitsplatz nehmen Rechner und Bildschirm im Betrieb zusammen 58 W auf.
      Gearbeitet wird 8 Stunden an 220 Tagen im Jahr. (a) Berechnen Sie die
      jährlichen Stromkosten für alle fünf Arbeitsplätze bei 0,32 € je kWh.
      (b) Bisher bleiben die Rechner nach Feierabend an den Arbeitstagen
      16 Stunden mit 25 W im Leerlauf eingeschaltet. Wie hoch sind die
      zusätzlichen Kosten im Jahr?
    punkte: 10
    musterloesung: >-
      (a) 0,058 kW × 8 h × 220 = 102,08 kWh je Arbeitsplatz; × 5 = 510,4 kWh;
      × 0,32 €/kWh = 163,33 €. (5 P.) (b) 0,025 kW × 16 h × 220 = 88 kWh je
      Arbeitsplatz; × 5 = 440 kWh; × 0,32 €/kWh = 140,80 €. (5 P.) Je Teilaufgabe:
      Umrechnung in kW 1 P., Stunden 1 P., kWh 1 P., Kosten 2 P.
  - id: f4
    frage: >-
      Die Abteilung bekommt ein eigenes VLAN. Aus dem Bereich 10.20.40.0/24 soll
      ein Subnetz für höchstens 25 Geräte zuzüglich Gateway gebildet werden, so
      klein wie möglich. Geben Sie Präfix, Netzadresse, Broadcastadresse, den
      nutzbaren Bereich und eine Gateway-Adresse an. Begründen Sie das Präfix.
    punkte: 10
    musterloesung: >-
      26 Adressen für Geräte und Gateway plus Netz- und Broadcastadresse ergeben
      28; die nächste Blockgröße ist 32, also /27 (Maske 255.255.255.224) mit 30
      nutzbaren Adressen; /28 hätte nur 14. Netzadresse 10.20.40.0,
      Broadcast 10.20.40.31, nutzbar 10.20.40.1 bis 10.20.40.30, Gateway z. B.
      10.20.40.1. (Begründung und Präfix 4 P., Netz 1 P., Broadcast 2 P.,
      Bereich 2 P., Gateway 1 P.)
  - id: f5
    frage: >-
      Das Abteilungs-NAS erhält vier Festplatten mit je 6 TB. Vergleichen Sie
      RAID 5 und RAID 10 hinsichtlich nutzbarer Kapazität und Ausfallsicherheit
      und erklären Sie, warum das NAS trotzdem gesichert werden muss.
    punkte: 8
    musterloesung: >-
      RAID 5: (4 − 1) × 6 TB = 18 TB nutzbar, eine beliebige Platte darf
      ausfallen. RAID 10: 4 / 2 × 6 TB = 12 TB nutzbar, je Spiegelpaar darf eine
      Platte ausfallen – fallen beide Platten desselben Paares aus, sind die
      Daten verloren. (Je Stufe 3 P.) Ein RAID schützt nur gegen den Ausfall von
      Platten, nicht gegen Löschen, Verschlüsselung durch Schadsoftware,
      Bedienfehler oder den Verlust des ganzen Geräts; diese Fehler übernimmt es
      sofort auf alle Platten. (2 P.)
  - id: f6
    frage: >-
      In der Qualitätssicherung entstehen Prüfprotokolle, mit denen der Betrieb
      gegenüber Kunden nachweist, dass Teile maßhaltig sind. (a) Bestimmen Sie
      den Schutzbedarf der Prüfprotokolle für die drei Schutzziele mit
      Begründung. (b) Nennen Sie je eine Maßnahme für das Schutzziel mit dem
      höchsten Bedarf und für die Anmeldung an den Arbeitsplätzen.
    punkte: 10
    musterloesung: >-
      (a) Integrität hoch bis sehr hoch – verfälschte Protokolle können zu
      Haftung, Vertragsstrafen und Rückrufen führen. Verfügbarkeit normal bis
      hoch – ein kurzer Ausfall verzögert, ein Verlust der Protokolle verhindert
      den Nachweis gegenüber Kunden. Vertraulichkeit normal bis hoch – sie
      können Konstruktions- und Kundendaten enthalten. Abweichende Einstufungen
      zählen bei schlüssiger Begründung. (Je Schutzziel 2 P.) (b) Integrität:
      Schreibrechte nur für die Prüfer, Protokolle nach Freigabe schreibgeschützt
      ablegen, Änderungen protokollieren, Sicherung mit Generationen. Anmeldung:
      persönliche Konten mit zweitem Faktor bzw. Smartcard, Bildschirmsperre.
      (Je Maßnahme 2 P.)
  - id: f7
    frage: >-
      Die fünf bisherigen Rechner der Abteilung sollen entsorgt werden. Auf ihren
      Festplatten liegen Prüfprotokolle mit Namen von Kunden und Prüfern.
      Beschreiben Sie das richtige Vorgehen.
    punkte: 8
    musterloesung: >-
      (1) Prüfen, ob noch Daten gebraucht werden, und sie ggf. sichern. (2) Die
      Datenträger ausbauen und nachweisbar löschen oder vernichten – nach DIN
      66399, für personenbezogene Daten mindestens Sicherheitsstufe 3; ein
      Formatieren genügt nicht. (3) Die Vernichtung mit Seriennummern
      protokollieren bzw. das Vernichtungszertifikat des Dienstleisters ablegen.
      (4) Die Geräte über einen zertifizierten Entsorger oder eine Rücknahmestelle
      nach dem ElektroG abgeben, nicht in den Restmüll. (5) Die Geräte in der
      Geräteliste als ausgesondert kennzeichnen. Ebenfalls richtig: Weitergabe zur
      Wiederverwendung nach sicherer Löschung. (2 P. für Löschen/Vernichten mit
      Norm, 2 P. Nachweis, 2 P. Entsorgung nach ElektroG, 2 P. für weitere
      Schritte)
  - id: f8
    frage: >-
      Ein Messgerät liefert eine Liste von Messwerten in Millimetern. Ein Teil ist
      in Ordnung, wenn der Wert zwischen 24,95 und 25,05 liegt, Grenzen
      eingeschlossen. Schreiben Sie einen Pseudocode, der die Anzahl der Teile
      außerhalb der Toleranz und den größten gemessenen Wert ausgibt. Führen Sie
      einen Schreibtischtest mit den Werten 25,01; 24,90; 25,06 durch.
    punkte: 12
    musterloesung: >-
      ausserhalb ← 0; groesster ← werte[0]; FÜR jeden wert IN werte: WENN wert
      < 24,95 ODER wert > 25,05 DANN ausserhalb ← ausserhalb + 1; WENN wert >
      groesster DANN groesster ← wert; ENDE FÜR; AUSGABE ausserhalb, groesster.
      Schreibtischtest: Start ausserhalb 0, groesster 25,01. Wert 25,01 – in
      Toleranz, groesster bleibt 25,01. Wert 24,90 – außerhalb, ausserhalb 1.
      Wert 25,06 – außerhalb, ausserhalb 2, groesster 25,06. Ausgabe 2 und 25,06.
      (Initialisierung 2 P., Schleife 2 P., Bedingung mit ODER und richtigen
      Grenzen 3 P., Maximum 2 P., Schreibtischtest 3 P.)
  - id: f9
    frage: >-
      Eine Mitarbeiterin der Abteilung klagt nach einer Woche über
      Nackenschmerzen und Blendung. Ihr Bildschirm steht vor dem Fenster.
      Nennen Sie vier Maßnahmen und die Vorschrift, die die Anforderungen an
      Bildschirmarbeitsplätze regelt.
    punkte: 8
    musterloesung: >-
      Vier aus: Arbeitsplatz so drehen, dass die Blickrichtung parallel zum
      Fenster verläuft; Bildschirm so einstellen, dass die oberste Zeile auf oder
      knapp unter Augenhöhe liegt; Abstand etwa eine Armlänge; Hauptbildschirm
      direkt vor den Körper; Stuhl und Tischhöhe anpassen; Sonnenschutz am
      Fenster; Hinweis auf die Angebotsvorsorge für die Augen. (Je Maßnahme
      1,5 P., zusammen 6 P.) Vorschrift: Arbeitsstättenverordnung, Anhang Nr. 6.
      (2 P.)
  - id: f10
    frage: >-
      Ein externer Dienstleister richtet das NAS ein. Um welche Vertragsart
      handelt es sich, und welche Folgen hat die Abnahme?
    punkte: 6
    musterloesung: >-
      Werkvertrag, weil ein Erfolg geschuldet ist – ein eingerichtetes,
      funktionierendes NAS. (2 P.) Folgen der Abnahme (vier aus, je 1 P.): Die
      Vergütung wird fällig; die Verjährungsfrist für Mängelansprüche beginnt;
      die Gefahr geht auf den Auftraggeber über; bekannte, nicht vorbehaltene
      Mängel können später nur eingeschränkt geltend gemacht werden; Restmängel
      werden im Protokoll festgehalten.
  - id: f11
    frage: >-
      Am ersten Arbeitstag gehen zwei Tickets ein: (a) Eine Prüferin kann die
      Messsoftware nicht starten, die Abteilung kann deshalb keine Teile
      freigeben. (b) Ein Prüfer möchte ein anderes Hintergrundbild. Ordnen Sie
      Art und Priorität zu und begründen Sie.
    punkte: 5
    musterloesung: >-
      (a) Störung mit hoher Priorität – hohe Auswirkung, weil ohne Freigabe der
      Ablauf der Abteilung steht, und hohe Dringlichkeit, weil Teile nicht
      ausgeliefert werden können. (3 P.) (b) Serviceanfrage mit geringer
      Priorität – nichts ist beeinträchtigt, die Anfrage wird nach dem üblichen
      Ablauf bzw. den Vorgaben des Betriebs erledigt oder abgelehnt. (2 P.)
  - id: f12
    frage: >-
      Die Abteilungsleiterin verkraftet höchstens einen Arbeitstag Datenverlust.
      Wie oft muss das NAS mindestens gesichert werden, und welche Regel gilt
      für die Aufbewahrung der Kopien?
    punkte: 5
    musterloesung: >-
      Mindestens einmal täglich, z. B. jede Nacht nach Arbeitsende, weil das
      RPO einen Arbeitstag beträgt. (2 P.) Für die Aufbewahrung gilt die
      3-2-1-Regel: drei Kopien auf zwei verschiedenen Medien, eine davon außer
      Haus; zusätzlich eine Kopie offline oder unveränderlich gegen
      Schadsoftware. (3 P.)
@@ -211,3 +211,7 @@ bloecke:
    kuerzel: P
    titel: Skripting und Automatisierung
    farbe: petrol
  - id: server
    kuerzel: V
    titel: Server und Virtualisierung
    farbe: petrol
@@ -0,0 +1,30 @@
 nummer: 9
 titel: Virtualisierung
 block: server
 leitfrage: Wofür ist diese VM eigentlich da – und wer würde es merken, wenn sie fehlt?
 ziel: >-
  Du kannst Hypervisoren einordnen, eine virtuelle Maschine planen und
  bereitstellen, Snapshots richtig einsetzen und erklären, warum sie keine
  Datensicherung ersetzen.
 handouts: [V1, V2, V3]
 aufgaben: ["9.1"]
 checklisten: [07-vm-bereitstellen]
 lernzielkontrolle: woche-09
 tage:
  - tag: Montag
    theorie: [V1]
    praxis: Die virtuelle Umgebung des Betriebs mit dem Ausbilder durchgehen – Hosts, VMs, Auslastung – und eine Übersicht zeichnen.
  - tag: Dienstag
    theorie: [V2]
    praxis: Auf dem Testhost eine Test-VM anlegen, Snapshot anlegen, Änderung vornehmen, zurücksetzen und Snapshot löschen.
  - tag: Mittwoch
    theorie: [V3]
    praxis: Praxisaufgabe 9.1 beginnen – Planungsblatt ausfüllen und freigeben lassen, VM anlegen, Betriebssystem installieren.
  - tag: Donnerstag
    theorie: []
    praxis: Praxisaufgabe 9.1 abschließen – einbinden, sichern, Rückweg üben, dokumentieren.
  - tag: Freitag
    theorie: []
    praxis: Lernzielkontrolle, danach Berichtsheft schreiben.
@@ -0,0 +1,30 @@
 nummer: 10
 titel: Verzeichnisdienst und Serverdienste
 block: server
 leitfrage: Woran erkennt man in fünf Jahren noch, warum jemand ein Recht hat?
 ziel: >-
  Du kannst eine Abteilung im Active Directory mit OUs und Gruppen nach AGDLP
  abbilden, Einstellungen per Gruppenrichtlinie verteilen und prüfen, und
  Datei- und Druckdienste so einrichten, dass sie pflegbar bleiben.
 handouts: [V4, V5, V6]
 aufgaben: ["10.1"]
 checklisten: [08-mitarbeiter-einrichten]
 lernzielkontrolle: null
 tage:
  - tag: Montag
    theorie: [V4]
    praxis: Die OU- und Gruppenstruktur des Betriebs mit dem Ausbilder durchgehen, drei Gruppen auf Zweck und Mitglieder prüfen.
  - tag: Dienstag
    theorie: [V5]
    praxis: In der Testdomäne eine Richtlinie für die Bildschirmsperre anlegen, verknüpfen und mit gpresult nachweisen.
  - tag: Mittwoch
    theorie: [V6]
    praxis: Praxisaufgabe 10.1 beginnen – Plan schreiben, Ablage anlegen, Rechte vergeben.
  - tag: Donnerstag
    theorie: []
    praxis: Praxisaufgabe 10.1 abschließen – Testkonten nach Checkliste, Richtlinien, Nachweis per Anmeldung, Abteilungswechsel.
  - tag: Freitag
    theorie: []
    praxis: Einen echten Neuzugang mit dem Ausbilder nach Checkliste einrichten, falls einer ansteht – sonst Ergebnis 10.1 vorstellen. Berichtsheft schreiben.
@@ -0,0 +1,30 @@
 nummer: 11
 titel: Netze trennen und verbinden
 block: netzwerk
 leitfrage: Wer soll wen erreichen dürfen – und wo im Netz steht das geschrieben?
 ziel: >-
  Du kannst ein Netz mit VLANs aufteilen, Routing-Entscheidungen nachvollziehen,
  Firewallregeln in der richtigen Reihenfolge formulieren und ein getrenntes
  Gäste-WLAN einrichten und prüfen.
 handouts: [N5, N6, N7]
 aufgaben: ["11.1"]
 checklisten: []
 lernzielkontrolle: woche-11
 tage:
  - tag: Montag
    theorie: [N5]
    praxis: VLAN-Übersicht des Betriebs mit dem Ausbilder durchgehen, an einem Switch Access- und Trunk-Ports nachvollziehen und mit der Dokumentation abgleichen.
  - tag: Dienstag
    theorie: [N6]
    praxis: Routingtabelle und Firewallregeln des Betriebs lesen, zu fünf Regeln Zweck und Reihenfolge erklären.
  - tag: Mittwoch
    theorie: [N7]
    praxis: Praxisaufgabe 11.1 beginnen – Plan schreiben, Switch und Firewall einrichten.
  - tag: Donnerstag
    theorie: []
    praxis: Praxisaufgabe 11.1 abschließen – Access Point, Nachweise mit zwei Gastgeräten, Dokumentation.
  - tag: Freitag
    theorie: []
    praxis: Lernzielkontrolle, danach Berichtsheft schreiben.
@@ -0,0 +1,30 @@
 nummer: 12
 titel: Ein Kundenauftrag von der Anfrage bis zur Abnahme
 block: arbeitsalltag
 leitfrage: Woran erkennen Kunde und IT am Ende gemeinsam, dass der Auftrag erfüllt ist?
 ziel: >-
  Du kannst Anforderungen prüfbar aufnehmen, Angebote bis zum Bezugspreis
  rechnen und vergleichen, die passende Vertragsart erkennen und einen Auftrag
  mit Protokoll abnehmen lassen.
 handouts: [A7, A8, A9]
 aufgaben: ["12.1"]
 checklisten: [09-auftrag-abnehmen-lassen]
 lernzielkontrolle: null
 tage:
  - tag: Montag
    theorie: [A7]
    praxis: Praxisaufgabe 12.1 beginnen – Gespräch mit dem Kunden, Lastenheft schreiben und bestätigen lassen, Anfrage verschicken.
  - tag: Dienstag
    theorie: [A8]
    praxis: Zehn Übungsaufgaben zur Bezugskalkulation rechnen, danach die ersten eingegangenen Angebote auswerten.
  - tag: Mittwoch
    theorie: [A9]
    praxis: Drei bestehende Verträge des Betriebs (Wartung, Leasing, Support) lesen und Vertragsart, Leistung und Fristen herausschreiben.
  - tag: Donnerstag
    theorie: []
    praxis: Praxisaufgabe 12.1 abschließen – Nutzwertanalyse, Pflichtenheft, Empfehlung vorstellen.
  - tag: Freitag
    theorie: []
    praxis: Monatliches Feedbackgespräch, danach Berichtsheft schreiben.
@@ -0,0 +1,30 @@
 nummer: 13
 titel: Linux-Grundlagen
 block: system
 leitfrage: Wo steht unter Linux, warum etwas nicht funktioniert?
 ziel: >-
  Du kannst dich auf der Linux-Kommandozeile sicher bewegen, Benutzer und
  Dateirechte richtig setzen, Software und Dienste verwalten und einen Server
  so einrichten, dass er nur per SSH-Schlüssel erreichbar ist.
 handouts: [S6, S7, S8]
 aufgaben: ["13.1"]
 checklisten: [10-linux-server-einrichten]
 lernzielkontrolle: woche-13
 tage:
  - tag: Montag
    theorie: [S6]
    praxis: Auf einem Testsystem zwanzig Fragen mit Befehlen beantworten – wo liegt was, wie voll ist was, was steht im Protokoll.
  - tag: Dienstag
    theorie: [S7]
    praxis: Benutzer, Gruppen und ein gemeinsames Verzeichnis für eine Abteilung anlegen und mit zwei Konten prüfen.
  - tag: Mittwoch
    theorie: [S8]
    praxis: Praxisaufgabe 13.1 beginnen – VM planen, installieren, Benutzer und Schlüssel einrichten.
  - tag: Donnerstag
    theorie: []
    praxis: Praxisaufgabe 13.1 abschließen – SSH absichern, Firewall, nginx, Fehlersuche mit journalctl.
  - tag: Freitag
    theorie: []
    praxis: Lernzielkontrolle, danach Berichtsheft schreiben.
@@ -0,0 +1,30 @@
 nummer: 14
 titel: Betrieb und Überwachung
 block: system
 leitfrage: Wer merkt zuerst, dass etwas nicht stimmt – die IT oder der Nutzer?
 ziel: >-
  Du kannst eine Überwachung mit begründeten Schwellwerten einrichten, eine
  Störung anhand der Protokolle zeitlich eingrenzen und Updates so planen, dass
  sie zuverlässig ankommen, ohne den Betrieb zu stören.
 handouts: [S9, S10, S11]
 aufgaben: ["14.1"]
 checklisten: []
 lernzielkontrolle: null
 tage:
  - tag: Montag
    theorie: [S9]
    praxis: Die Überwachung des Betriebs mit dem Ausbilder durchgehen – was wird überwacht, welche Alarme kamen im letzten Monat, welche davon waren nützlich.
  - tag: Dienstag
    theorie: [S10]
    praxis: Drei echte Störungen aus dem Ticketsystem nehmen und in den Protokollen nachvollziehen, wann und warum sie auftraten.
  - tag: Mittwoch
    theorie: [S11]
    praxis: Den Update-Stand aller Arbeitsplätze und Netzwerkgeräte erheben, Geräte ohne aktuellen Stand und mit End of Life auflisten.
  - tag: Donnerstag
    theorie: []
    praxis: Praxisaufgabe 14.1 – Prüfungen und Schwellen festlegen, einrichten, Ausfall testen, dokumentieren.
  - tag: Freitag
    theorie: []
    praxis: Ergebnis der Bestandsaufnahme vom Mittwoch dem Ausbilder vorstellen, Berichtsheft schreiben.
@@ -0,0 +1,30 @@
 nummer: 15
 titel: Serviceanfragen bearbeiten
 block: arbeitsalltag
 leitfrage: Welches Ticket ist wirklich das dringendste – und woran erkennst du das?
 ziel: >-
  Du kannst Störungen, Serviceanfragen, Probleme und Änderungen unterscheiden,
  Tickets nachvollziehbar priorisieren und eskalieren und Lösungen so
  festhalten, dass andere sie wiederfinden.
 handouts: [A10, A11, A12]
 aufgaben: ["15.1"]
 checklisten: [11-aenderung-durchfuehren]
 lernzielkontrolle: woche-15
 tage:
  - tag: Montag
    theorie: [A10]
    praxis: Vormittags Praxisaufgabe 15.1 – erster Level im Ticketsystem. Nachmittags zwanzig geschlossene Tickets nach Art einordnen.
  - tag: Dienstag
    theorie: [A11]
    praxis: Vormittags Praxisaufgabe 15.1. Nachmittags die Prioritätenmatrix des Betriebs mit dem Ausbilder durchgehen und an zehn Beispielen anwenden.
  - tag: Mittwoch
    theorie: [A12]
    praxis: Vormittags Praxisaufgabe 15.1. Nachmittags eine geplante Änderung nach Checkliste vorbereiten und vom Ausbilder freigeben lassen.
  - tag: Donnerstag
    theorie: []
    praxis: Vormittags Praxisaufgabe 15.1 abschließen. Nachmittags zwei Wissensartikel schreiben und das Problem anlegen.
  - tag: Freitag
    theorie: []
    praxis: Lernzielkontrolle, danach Berichtsheft schreiben.
@@ -0,0 +1,31 @@
 nummer: 16
 titel: Den Arbeitsplatz als Ganzes – Vorbereitung auf Teil 1
 block: hardware
 leitfrage: Was gehört zu einem Arbeitsplatz außer dem Rechner?
 ziel: >-
  Du kannst einen Bildschirmarbeitsplatz ergonomisch beurteilen, Energiekosten
  berechnen und Nachhaltigkeit bei Beschaffung und Entsorgung berücksichtigen,
  Abläufe in Pseudocode beschreiben und eine Aufgabe im Stil von Teil 1 der
  Abschlussprüfung in der vorgegebenen Zeit bearbeiten.
 handouts: [H4, H5, P4]
 aufgaben: ["16.1"]
 checklisten: [12-bildschirmarbeitsplatz-pruefen]
 lernzielkontrolle: woche-16
 tage:
  - tag: Montag
    theorie: [H4]
    praxis: Den eigenen Arbeitsplatz nach Checkliste prüfen und einstellen, danach Praxisaufgabe 16.1 beginnen.
  - tag: Dienstag
    theorie: [H5]
    praxis: Praxisaufgabe 16.1 – Messungen und Hochrechnung, zehn Übungsaufgaben zu Energiekosten.
  - tag: Mittwoch
    theorie: [P4]
    praxis: Fünf Abläufe aus dem Arbeitsalltag in Pseudocode beschreiben und je einen Schreibtischtest machen. Praxisaufgabe 16.1 abschließen.
  - tag: Donnerstag
    theorie: []
    praxis: Probeprüfung Teil 1 unter Prüfungsbedingungen – 90 Minuten, ohne Hilfsmittel außer Taschenrechner.
  - tag: Freitag
    theorie: []
    praxis: Monatliches Feedbackgespräch mit Besprechung der Probeprüfung, danach Berichtsheft schreiben.
@@ -0,0 +1,260 @@
 # Lern-Bar auf Proxmox betreiben
 Diese Anleitung führt von einer leeren Proxmox-Umgebung zur laufenden Lern-Bar im
 Betriebsnetz: eine virtuelle Maschine mit Debian, darin Docker mit der Lern-Bar und Caddy
 als Reverse Proxy mit HTTPS. Rechne mit etwa zwei Stunden.
 > **HTTPS ist Pflicht, nicht Kür.** Die Lern-Bar setzt das Anmeldecookie im Betrieb mit dem
 > Merkmal `Secure`. Über `http://` nimmt der Browser es nicht an – die Anmeldung scheitert
 > dann ohne Fehlermeldung, man landet einfach wieder auf der Anmeldeseite.
 ---
 ## Inhalt
 1. [VM oder LXC?](#1-vm-oder-lxc)
 2. [Die VM anlegen](#2-die-vm-anlegen)
 3. [Grundeinrichtung](#3-grundeinrichtung)
 4. [Docker installieren](#4-docker-installieren)
 5. [Die Lern-Bar holen und starten](#5-die-lern-bar-holen-und-starten)
 6. [HTTPS mit Caddy](#6-https-mit-caddy)
 7. [Das erste Konto](#7-das-erste-konto)
 8. [Sicherung](#8-sicherung)
 9. [Aktualisieren](#9-aktualisieren)
 10. [Abnahme vor dem Echtbetrieb](#10-abnahme-vor-dem-echtbetrieb)
 ---
 ## 1. VM oder LXC?
 **Eine VM.** Docker läuft auch in einem LXC-Container, braucht dort aber `nesting` und
 `keyctl`, und in unprivilegierten Containern gibt es immer wieder Ärger mit dem
 Speichertreiber und den Rechten auf Volumes. Eine VM ist sauber vom Host getrennt, wird von
 Proxmox Backup als Ganzes gesichert und verhält sich wie jeder andere Server. Der zusätzliche
 Arbeitsspeicher von ein paar hundert Megabyte fällt nicht ins Gewicht.
 ## 2. Die VM anlegen
 | Einstellung | Wert |
 |---|---|
 | Betriebssystem | Debian 13 („trixie"), Netinstall-Abbild |
 | Prozessor | 2 Kerne, Typ `host` |
 | Arbeitsspeicher | 2 GB (der Bau des Abbilds braucht kurzzeitig mehr als der Betrieb) |
 | Festplatte | 32 GB, VirtIO SCSI, auf einem Speicher, der in die Proxmox-Sicherung fällt |
 | Netz | VirtIO, im **Server-VLAN** |
 | Optionen | QEMU Guest Agent aktivieren |
 Bei der Installation nur **SSH-Server** und **Standard-Systemwerkzeuge** auswählen, keine
 grafische Oberfläche.
 Danach:
 - feste IP-Adresse vergeben oder im DHCP reservieren
 - DNS-Eintrag anlegen, etwa `lernbar.betrieb.local` – diesen Namen nutzen die Azubis
 - in der VM `sudo apt install qemu-guest-agent && sudo systemctl enable --now qemu-guest-agent`
 ## 3. Grundeinrichtung
 Die Lern-Bar bringt dafür ihre eigene Checkliste mit: **Checklisten → Linux-Server
 grundlegend einrichten** (Woche 13). Kurzfassung:
 ```bash
 # Persönlicher Benutzer mit sudo, SSH nur mit Schlüssel (Schritte siehe Handout S8)
 sudo apt update && sudo apt upgrade -y
 sudo apt install -y unattended-upgrades ufw git
 sudo dpkg-reconfigure -plow unattended-upgrades
 # Firewall: SSH nur aus dem Verwaltungsnetz, Web für alle im LAN
 sudo ufw default deny incoming
 sudo ufw allow from 10.10.99.0/24 to any port 22 proto tcp   # Verwaltungsnetz anpassen
 sudo ufw allow 80/tcp
 sudo ufw allow 443/tcp
 sudo ufw enable
 ```
 > **Docker und ufw:** Ports, die Docker veröffentlicht, laufen an ufw vorbei. Bei der
 > Lern-Bar ist das unkritisch, weil `docker-compose.yml` Port 3000 nur auf `127.0.0.1`
 > veröffentlicht – von außen ist er nicht erreichbar. Wer das ändert, öffnet den Port für
 > alle, egal was ufw sagt.
 ## 4. Docker installieren
 Aus dem Paketarchiv von Docker, nicht aus Debian – dort fehlt die Compose-Erweiterung in
 aktueller Fassung.
 ```bash
 sudo apt install -y ca-certificates curl
 sudo install -m 0755 -d /etc/apt/keyrings
 sudo curl -fsSL https://download.docker.com/linux/debian/gpg -o /etc/apt/keyrings/docker.asc
 sudo chmod a+r /etc/apt/keyrings/docker.asc
 echo "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.asc] \
 https://download.docker.com/linux/debian $(. /etc/os-release && echo "$VERSION_CODENAME") stable" \
  | sudo tee /etc/apt/sources.list.d/docker.list > /dev/null
 sudo apt update
 sudo apt install -y docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin
 # Den eigenen Benutzer berechtigen – danach einmal ab- und wieder anmelden
 sudo usermod -aG docker "$USER"
 ```
 Prüfen: `docker compose version` zeigt eine Fassung 2.x.
 ## 5. Die Lern-Bar holen und starten
 Für den Server einen **eigenen Lesezugang** zum Git-Repository anlegen, nicht die eigenen
 Zugangsdaten hinterlegen. In Gitea: Repository → Einstellungen → **Deploy-Schlüssel**, einen
 SSH-Schlüssel der VM ohne Schreibrecht eintragen.
 ```bash
 ssh-keygen -t ed25519 -f ~/.ssh/lernbar_deploy -N ""
 cat ~/.ssh/lernbar_deploy.pub        # als Deploy-Schlüssel in Gitea eintragen
 cat >> ~/.ssh/config <<'EOF'
 Host git.wilde-server.de
  IdentityFile ~/.ssh/lernbar_deploy
 EOF
 sudo mkdir -p /opt/lernbar && sudo chown "$USER": /opt/lernbar
 git clone --branch feat/lernbar-erstfassung \
  git@git.wilde-server.de:florian.wilde/lernbar.git /opt/lernbar
 ```
 > Solange `main` noch nicht freigegeben ist, läuft der Betrieb vom Zweig
 > `feat/lernbar-erstfassung`. Nach der Freigabe einmal `git -C /opt/lernbar checkout main`,
 > danach holt `update.sh` von dort.
 Bauen und starten:
 ```bash
 cd /opt/lernbar
 docker compose up -d --build        # der erste Bau dauert einige Minuten
 curl -s http://127.0.0.1:3000/api/gesundheit
 # {"zustand":"in Ordnung"}
 ```
 Die Daten liegen im Docker-Volume `lernbar_lernbar-daten`, auf dem Host unter
 `/var/lib/docker/volumes/lernbar_lernbar-daten/_data`.
 ## 6. HTTPS mit Caddy
 Caddy läuft direkt auf der VM, nimmt die Verbindungen auf 443 an und reicht sie an
 `127.0.0.1:3000` weiter.
 ```bash
 sudo apt install -y caddy
 ```
 `/etc/caddy/Caddyfile`:
 ```caddyfile
 lernbar.betrieb.local {
 	# Variante A: Zertifikat der eigenen Zertifizierungsstelle (empfohlen)
 	tls /etc/caddy/lernbar.crt /etc/caddy/lernbar.key
 	# Variante B: Caddys eigene Zertifizierungsstelle – siehe unten
 	# tls internal
 	request_body {
 		max_size 30MB   # Fotos als Anhang, die Anwendung selbst begrenzt auf 25 MB
 	}
 	reverse_proxy 127.0.0.1:3000
 }
 ```
 ```bash
 sudo systemctl reload caddy
 ```
 **Welches Zertifikat?**
 - **Variante A – eigene Zertifizierungsstelle:** Gibt es im Betrieb eine Zertifizierungsstelle
  (etwa die Active-Directory-Zertifikatsdienste), ein Serverzertifikat für
  `lernbar.betrieb.local` ausstellen. Die Rechner in der Domäne vertrauen ihr bereits.
  Datei und Schlüssel nach `/etc/caddy/` legen, Rechte `640`, Gruppe `caddy`.
 - **Variante B – `tls internal`:** Caddy stellt das Zertifikat selbst aus. Damit Browser es
  annehmen, muss das Wurzelzertifikat
  `/var/lib/caddy/.local/share/caddy/pki/authorities/local/root.crt` auf allen Geräten als
  vertrauenswürdig hinterlegt werden – an Domänenrechnern per Gruppenrichtlinie, an Handys von
  Hand.
 - **Ist die Lern-Bar aus dem Internet erreichbar** (öffentlicher DNS-Name, Port 443 offen),
  holt Caddy ohne `tls`-Zeile selbst ein Zertifikat von Let's Encrypt.
 > Für die **Installation auf dem Handy** (Startbildschirm, Offline-Lernen) verlangen die
 > Browser ein Zertifikat, dem das Gerät vertraut. Mit Variante B heißt das: Wurzelzertifikat
 > auch auf den Diensthandys installieren.
 ## 7. Das erste Konto
 ```bash
 cd /opt/lernbar
 docker compose exec lernbar node werkzeuge/konto.js \
  --name "Vorname Nachname" --email ausbilder@betrieb.de --rolle ausbilder
 ```
 Das ausgegebene Passwort notieren, unter `https://lernbar.betrieb.local` anmelden und es unter
 **Verwaltung → Eigenes Passwort** ändern. Danach unter **Verwaltung** die Azubikonten anlegen
 und im **Wochenplan** die Wochen einplanen.
 Hat das einzige Ausbilderkonto sein Passwort vergessen, setzt derselbe Befehl es neu.
 ## 8. Sicherung
 Zwei Ebenen, die sich ergänzen:
 1. **Proxmox sichert die ganze VM**, etwa nächtlich auf Proxmox Backup Server. Damit lässt sich
   der ganze Server zurückholen.
 2. **Die Lern-Bar sichert ihre Daten selbst** – Datenbank und Anhänge in einem Archiv, das sich
   auch auf einem neuen Server einspielen lässt.
 `/etc/cron.d/lernbar-sicherung`:
 ```cron
 SHELL=/bin/sh
 PATH=/usr/local/bin:/usr/bin:/bin
 # 02:30 sichern, 02:45 Archive älter als 30 Tage aufräumen
 30 2 * * * root cd /opt/lernbar && docker compose exec -T lernbar /app/werkzeuge/sicherung.sh /daten/sicherungen >> /var/log/lernbar-sicherung.log 2>&1
 45 2 * * * root cd /opt/lernbar && docker compose exec -T lernbar find /daten/sicherungen -name 'lernbar-*.tar.gz' -mtime +30 -delete
 # 03:00 eine Kopie vom Server wegschaffen – Ziel und Zugang anpassen
 0 3 * * * root rsync -a /var/lib/docker/volumes/lernbar_lernbar-daten/_data/sicherungen/ sicherung@nas.betrieb.local:/lernbar/ >> /var/log/lernbar-sicherung.log 2>&1
 ```
 Die Uhrzeiten liegen vor der Proxmox-Sicherung, damit das frische Archiv mit in die
 VM-Sicherung fällt.
 **Zurückspielen** steht in der [README](../README.md#zurückspielen). Und: Eine Sicherung, die
 nie zurückgespielt wurde, ist keine Sicherung. Einmal im Quartal nach der Checkliste
 **Wiederherstellung testen** (Woche 8) auf eine Test-VM zurückspielen.
 ## 9. Aktualisieren
 ```bash
 cd /opt/lernbar
 ./update.sh
 ```
 Das Skript sichert, holt den neuen Stand, baut, schaltet um und wartet auf das Lebenszeichen.
 Meldet sich die neue Fassung nicht gesund, schaltet es von selbst auf die vorherige zurück.
 Neue Inhalte – etwa weitere Wochen – kommen auf demselben Weg, weil sie Teil des Repositorys
 sind. Neue Wochen erscheinen danach im Wochenplan unter „noch nicht eingeplant".
 Updates des Systems selbst spielt `unattended-upgrades` ein. Docker und Caddy kommen dabei mit,
 weil sie aus Paketquellen installiert sind.
 ## 10. Abnahme vor dem Echtbetrieb
 Bevor die Azubis die Adresse bekommen:
 - [ ] Anmeldung über `https://lernbar.betrieb.local` von einem Arbeitsplatz – ohne
      Zertifikatswarnung
 - [ ] Anmeldung vom Handy, Installation auf dem Startbildschirm
 - [ ] Ein Anhang mit 20 MB lässt sich hochladen
 - [ ] Ein Berichtsheft-PDF lässt sich herunterladen
 - [ ] `http://lernbar.betrieb.local` leitet auf HTTPS um
 - [ ] `http://<IP>:3000` ist von einem anderen Rechner aus **nicht** erreichbar
 - [ ] Sicherung von Hand ausgelöst, Archiv liegt auf dem NAS
 - [ ] Die Sicherung auf eine Test-VM zurückgespielt, Konten und Daten sind da
 - [ ] `./update.sh` einmal durchgelaufen
 - [ ] Die VM erscheint in der Proxmox-Sicherung und in der Überwachung
@@ -1,12 +1,12 @@
 {
  "name": "lernbar",
-  "version": "1.0.3",
+  "version": "1.0.5",
  "lockfileVersion": 3,
  "requires": true,
  "packages": {
    "": {
      "name": "lernbar",
-      "version": "1.0.3",
+      "version": "1.0.5",
      "dependencies": {
        "@node-rs/argon2": "^2.0.2",
        "better-sqlite3": "^12.11.1",
@@ -1,6 +1,6 @@
 {
  "name": "lernbar",
-  "version": "1.0.3",
+  "version": "1.0.5",
  "private": true,
  "description": "Lern-Bar – betriebliche Ausbildung Fachinformatiker Systemintegration",
  "engines": {
@@ -87,26 +87,38 @@ export function verlinkeGlossar(html: string, glossar: GlossarEintrag[]): string
    if (teil.trim() === '') continue;
    if (offen.some((element) => gemiedeneElemente.has(element))) continue;
-    let text = teil;
+    // Ein gesetzter Verweis wird als festes Stück herausgelöst. Die folgenden
    // Muster durchsuchen nur noch den freien Text – sonst fände etwa „OU" sein
    // Gegenstück in der Erklärung von „Gruppenrichtlinie" im title-Attribut,
    // und mitten im Attribut entstünde ein zweiter Verweis.
    const stuecke: { text: string; fest: boolean }[] = [{ text: teil, fest: false }];
    for (const { muster: regex, eintrag } of muster) {
      if (bereitsVerlinkt.has(eintrag.begriff)) continue;
-      const gefunden = regex.exec(text);
+      for (let s = 0; s < stuecke.length; s += 1) {
-      if (!gefunden) continue;
+        const stueck = stuecke[s]!;
        if (stueck.fest) continue;
-      const erklaerung = eintrag.steht_fuer
+        const gefunden = regex.exec(stueck.text);
-        ? `${eintrag.steht_fuer} – ${eintrag.erklaerung}`
+        if (!gefunden) continue;
        : eintrag.erklaerung;
-      text =
+        const erklaerung = eintrag.steht_fuer
-        text.slice(0, gefunden.index) +
+          ? `${eintrag.steht_fuer} – ${eintrag.erklaerung}`
-        gefunden[1] +
+          : eintrag.erklaerung;
-        `<a class="glossarbegriff" href="/glossar#${glossarAnker(eintrag.begriff)}" title="${maskiere(erklaerung)}">${gefunden[2]}</a>` +
+        const verweis = `<a class="glossarbegriff" href="/glossar#${glossarAnker(eintrag.begriff)}" title="${maskiere(erklaerung)}">${gefunden[2]}</a>`;
        text.slice(gefunden.index + gefunden[0].length);
-      bereitsVerlinkt.add(eintrag.begriff);
+        stuecke.splice(
          s,
          1,
          { text: stueck.text.slice(0, gefunden.index) + gefunden[1], fest: false },
          { text: verweis, fest: true },
          { text: stueck.text.slice(gefunden.index + gefunden[0].length), fest: false },
        );
        bereitsVerlinkt.add(eintrag.begriff);
        break;
      }
    }
-    teile[i] = text;
+    teile[i] = stuecke.map((stueck) => stueck.text).join('');
  }
  return teile.join('');
@@ -122,6 +122,41 @@ describe('Glossarbegriffe verlinken', () => {
    expect(html).not.toContain('title="Ein "Anführungszeichen"');
  });
  it('verlinkt nicht in die Erklärung eines schon gesetzten Verweises hinein', () => {
    // Die Erklärung von „Gruppenrichtlinie" enthält „OU". Ein zweiter Verweis
    // darf nicht im title-Attribut des ersten landen – sonst bricht das HTML auf.
    const eintraege = [
      { begriff: 'Gruppenrichtlinie', formen: [], erklaerung: 'Verknüpft an eine OU – was zuletzt kommt, gewinnt.', siehe_auch: [] },
      { begriff: 'OU', formen: [], erklaerung: 'Ein Ordner im Verzeichnis.', siehe_auch: [] },
    ];
    const html = verlinkeGlossar('<p>Laufwerke per Gruppenrichtlinie zuordnen.</p>', eintraege);
    expect(html.match(/<a /g)).toHaveLength(1);
    expect(html).toContain('title="Verknüpft an eine OU – was zuletzt kommt, gewinnt."');
    expect(html).toContain('>Gruppenrichtlinie</a> zuordnen.');
  });
  it('verlinkt beide Begriffe, wenn beide im Text stehen', () => {
    const eintraege = [
      { begriff: 'Gruppenrichtlinie', formen: [], erklaerung: 'Verknüpft an eine OU.', siehe_auch: [] },
      { begriff: 'OU', formen: [], erklaerung: 'Ein Ordner im Verzeichnis.', siehe_auch: [] },
    ];
    const html = verlinkeGlossar('<p>Die Gruppenrichtlinie hängt an der OU.</p>', eintraege);
    expect(html.match(/<a /g)).toHaveLength(2);
    expect(html).toContain('>OU</a>.</p>');
    expect(html).toContain('title="Verknüpft an eine OU."');
  });
  it('erzeugt für alle Handouts wohlgeformte Verweise', () => {
    // Gegen das echte Glossar und die echten Handouts: In keinem title-Attribut
    // darf ein weiterer Verweis stecken.
    for (const handout of alle.handouts) {
      if (!handout.wesentlich) continue;
      const html = verlinkeGlossar(handout.wesentlich.html, glossar);
      expect(html, handout.id).not.toMatch(/title="[^"]*<a /);
      expect((html.match(/<a /g) ?? []).length, handout.id).toBe((html.match(/<\/a>/g) ?? []).length);
    }
  });
  it('lässt HTML unverändert, wenn das Glossar leer ist', () => {
    expect(verlinkeGlossar('<p>DNS</p>', [])).toBe('<p>DNS</p>');
  });
Author	SHA1	Message	Date
Florian WildeandClaude Opus 5.5	54ce7d87ae	Fassung 1.0.5 Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-05 06:33:31 +02:00
Florian WildeandClaude Opus 5.5	76836197b5	Anleitung fuer den Betrieb auf Proxmox Von der leeren VM ueber Docker, Caddy mit HTTPS, Deploy-Schluessel, erstes Konto und zweistufige Sicherung bis zur Abnahme vor dem Echtbetrieb. Die Caddy-Konfiguration ist mit caddy validate geprueft. Die README weist jetzt darauf hin, dass HTTPS Pflicht ist: Das Anmeldecookie ist im Betrieb Secure, ueber http:// scheitert die Anmeldung ohne Fehlermeldung. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-05 06:33:31 +02:00
Florian WildeandClaude Opus 5.5	70a3cd2d28	Inhalte: Wochen 13 bis 16 - Woche 13 Linux-Grundlagen (B3, A6, LF9) - Woche 14 Betrieb und Ueberwachung (A8, A5, LF11) - Woche 15 Serviceanfragen bearbeiten (A1, A2, A5, LF6) - Woche 16 Vorbereitung auf Teil 1 (C3, C4, A10, LF2, LF5) 12 Handouts, 36 Merkkarten, 4 Praxisaufgaben, 3 Checklisten, 2 Lernzielkontrollen und eine Probepruefung Teil 1 (90 Minuten, 100 Punkte, eine durchgehende Fallsituation). Alle Rechenbeispiele nachgerechnet. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-05 06:33:31 +02:00
Florian WildeandClaude Opus 5.5	86c0ab4f65	Fassung 1.0.4 Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-04 22:28:43 +02:00
Florian WildeandClaude Opus 5.5	08459d8c99	Inhalte: Wochen 9 bis 12 - Woche 9 Virtualisierung (B1, A8, LF9) - Woche 10 Verzeichnisdienst und Serverdienste (B3, A6, LF10) - Woche 11 Netze trennen und verbinden (B2, A6, LF9) - Woche 12 Kundenauftrag von der Anfrage bis zur Abnahme (A2, A3, A7) 12 Handouts, 36 Merkkarten, 4 Praxisaufgaben, 3 Checklisten, 2 Lernzielkontrollen, 23 Glossareintraege, Themenblock Server und Virtualisierung. Die Praxisaufgaben 9.1 und 10.1 bauen aufeinander auf: Der Testserver aus Woche 9 traegt die Testdomaene in Woche 10. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-04 22:28:42 +02:00
Florian WildeandClaude Opus 5.5	1de38b9b7a	Glossarverweise nicht in title-Attribute setzen Nach dem Setzen eines Verweises liefen die folgenden Suchmuster ueber denselben Text, einschliesslich des frisch eingefuegten title-Attributs. Enthielt die Erklaerung einen weiteren Glossarbegriff, entstand mitten im Attribut ein zweiter Verweis und das HTML brach auf - sichtbar im Handout als `gewinnt.">Gruppenrichtlinie`. Gesetzte Verweise werden jetzt als feste Stuecke herausgeloest; die weiteren Muster durchsuchen nur den freien Text. Ein neuer Test prueft alle Handouts gegen das echte Glossar auf wohlgeformte Verweise. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-04 22:28:42 +02:00