Hier planst du das Netz der Lounge J und sicherst den Weg zur Gebäudeautomation. Leg den Grundriss aus dem Auftrag und eure Geräteliste aus Teil 3 daneben.
Schritt 3 von 5. Du ordnest die Kommunikationsanlagen, teilst das Netz in Bereiche, bemisst WLAN und PoE mit einem englischen Datenblatt, ordnest Vorfälle den Schutzzielen zu und legst Maßnahmen, Fernzugriff und Datenschutz fest.
Danach: Rechenwege und Lösungen zu Teil 4
Erst du, dann die anderen
Die IT des Flughafens fragt: „Wo käme ein Angreifer in die Gebäudeautomation der Lounge, und was tut ihr dagegen?“ Eine Liste gibt dir keiner vor. Wie würdest du vorgehen?
So gehen andere vor. Such dir einen Weg aus.
- Den Weg eines Telegramms zeichnen. Du verfolgst einen Befehl vom Tablet bis zum Dimmaktor und fragst an jeder Station: Wer kommt hier heran, was könnte er tun? Das ist gründlich und zeigt auch Wege, an die keiner denkt, kostet aber Zeit, und was nicht auf dem Weg liegt, etwa der Diebstahl der Projektdatei, fällt heraus.
- Vorfälle aus anderen Gebäuden recherchieren. Du suchst Berichte über Angriffe auf Gebäudeautomation und prüfst, ob sie in der Lounge möglich wären. Das ist anschaulich und realistisch, aber die Quellen sind verstreut, und du findest nur, was schon einmal passiert ist.
- Mit der IT eine Schwachstellenliste durchgehen. Die IT des Flughafens hat Prüflisten nach dem IT-Grundschutz. Das ist vollständig und mit dem Betreiber des Netzes abgestimmt, aber die Listen sind lang und allgemein, und für den Bus der Lounge musst du sie übersetzen.
Es gibt hier nicht den einen richtigen Weg. Entscheide dich für einen und schreibe dazu, weshalb.
Der wichtigste Satz auf dieser Seite: Die Gebäudeautomation gehört ins Netz, aber nicht ins Gäste-WLAN: Jeder Weg zu ihr wird geplant, begrenzt und protokolliert.
Am Ende hast du: das Netzkonzept der Lounge J mit Bereichen, Zugangspunkten und PoE-Budget, den Steckbrief des Zugangspunkts und ein Sicherheitskonzept für Gebäudeautomation, Fernzugriff und Datenschutz.
Karte „Die Lounge auf einen Blick“: Grundriss mit allen Zonen, Flächen, Ausgängen und Kennzeichen der Betriebsmittel, ohne Adressen. Die Karte steht im Wissensspeicher, Lektion „Wissensspeicher und Expertenrunde“. Leg sie neben jede Aufgabe dieses Teils.
Kommunikationsanlagen in der Lounge
In der Lounge J laufen mehrere Kommunikationsanlagen nebeneinander: das Datennetz mit Kasse, Empfang und Büro, das WLAN für Gäste und Personal, die Telefone, die Fluginfo-Bildschirme, die Durchsage und der Sprachalarm über die Lautsprecher und die Gebäudeautomation mit IP-Router -K10 und Visualisierung. Die meisten davon teilen sich ein Netz und einen Switch. Das Netz gehört der IT des Flughafens: Sie gibt Regeln vor, die Elektrowerkstatt plant und verkabelt nach diesen Regeln.
Verkabelung, Switch, PoE und VLAN
Die Datenleitungen folgen der strukturierten Verkabelung nach DIN EN 50173: Der Primärbereich verbindet Gebäude, der Sekundärbereich die Geschosse eines Gebäudes, der Tertiärbereich führt vom Verteiler eines Geschosses zu den Anschlussdosen. In der Lounge ist der Netzschrank im Technikraum dieser Verteiler. Die fest verlegte Leitung endet dort auf dem Patchfeld; kurze Patchkabel verbinden das Patchfeld mit dem Switch. So lässt sich umstecken, ohne an der fest verlegten Leitung zu arbeiten.
Der Switch verbindet die Geräte eines Netzes und schickt jeden Datenrahmen nur an den Port, an dem der Empfänger hängt. Ein Router verbindet verschiedene Netze und entscheidet mit seiner Firewall, was von einem Netz ins andere darf. Mit VLAN nach IEEE 802.1Q teilt ein Switch sich in mehrere getrennte Netze: Geräte verschiedener VLAN sehen sich nicht, obwohl sie am selben Switch hängen. Verbindungen zwischen den VLAN gehen nur über den Router mit seinen Regeln. PoE (Power over Ethernet nach IEEE 802.3af und 802.3at) versorgt Geräte über die Datenleitung mit Strom; der Switch hat dafür ein PoE-Budget, das nicht überschritten werden darf.
WLAN für 120 Gäste
Ein Zugangspunkt funkt im 2,4-GHz-Band und im 5-GHz-Band. Er bildet eine Funkzelle, deren Reichweite Wände, Glas und Menschen begrenzen. Benachbarte Zellen bekommen verschiedene Kanäle, damit sie sich nicht stören. Wie viele Zugangspunkte nötig sind, hängt von zwei Dingen ab: von der Kapazität, also wie viele Endgeräte ein Zugangspunkt gut bedient, und von der Fläche, die eine Zelle zuverlässig abdeckt. Das größere Ergebnis zählt. Ein Zugangspunkt kann mehrere Funknetze aussenden, etwa ein Gäste-WLAN und ein Personal-WLAN, und jedes einem anderen VLAN zuordnen. Im Gäste-WLAN sorgt die Trennung der Endgeräte dafür, dass ein Gast nicht auf das Handy eines anderen Gastes zugreifen kann. Verschlüsselt wird mit WPA3.
Vier Schutzziele, ein Gebäude
Informationssicherheit fragt nach vier Schutzzielen. Verfügbarkeit: Anlage und Daten stehen bereit, wenn sie gebraucht werden. Integrität: Daten und Befehle kommen unverändert und vollständig an. Vertraulichkeit: Nur Berechtigte können Daten lesen. Authentizität: Ein Absender, ein Gerät oder eine Person ist nachweislich der, für den er sich ausgibt. In Lernfeld 4 hast du diese Ziele für ein Büro- und Hallennetz angewendet. In der Gebäudeautomation steht mehr auf dem Spiel: Wer ein Telegramm fälscht, schaltet Licht, fährt den Sonnenschutz oder sperrt die Küche.
Die KNX-Norm kennt dafür gesicherte Kommunikation: verschlüsselte und geprüfte Telegramme über IP und am Bus. Dazu kommen die Grundregeln jeder IT: eigene Passwörter statt Werkseinstellungen, die Projektdatei geschützt aufbewahren, Rechte nach Rollen vergeben, Netzschrank und Verteiler abschließen. Der Fernzugriff der Servicefirma läuft nur über den Zugang der Flughafen-IT, verschlüsselt (VPN), mit zweitem Faktor, befristet und protokolliert. Als Orientierung dient der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik (BSI); er hat eigene Bausteine für die Gebäudeautomation. Und weil Präsenzmelder und WLAN Daten über Menschen erzeugen, gilt die Datenschutz-Grundverordnung (DSGVO).
Der Weg des Telegramms lädt. Darunter steht er als Bild.
Gegebene Werte: Netz und WLAN der Lounge J · aufklappen, wenn du rechnest
Gegebene Werte: Netz und WLAN der Lounge J
- Anschluss
- Uplink der Flughafen-IT 1 Gbit/s in den Technikraum · Router mit Firewall und Fernzugang im Netz der Flughafen-IT
- Netzschrank
- 12 HE im Technikraum, Mitte bei x = 28,5 m, y = 17,5 m (Koordinaten in m von der Fassadenecke links oben) · Patchfeld · PoE-Switch mit 24 Ports, PoE+ nach IEEE 802.3at, PoE-Budget 370 W · USV 1 kVA
- Leitungswege
- rechtwinklig in der Decke · Zuschlag für Auf- und Abstieg 2 × 3 m je Leitung · fest verlegte Leitung im Tertiärbereich höchstens 90 m (Unterrichtswert nach DIN EN 50173)
- Geräte im Netz
- WLAN-Zugangspunkte · IP-Router -K10 · Visualisierungsserver · Kasse, Empfangsrechner, Bürorechner · 2 Telefone · Sprechstelle am Empfang · 4 Fluginfo-Bildschirme · Musikzuspieler · Tablet des Empfangs im WLAN
- PoE-Geräte
- Zugangspunkte: 30 W je Port · IP-Router -K10: 4 W · Sprechstelle: 6 W · Telefone: je 7 W
- WLAN
- 120 Gäste mit im Mittel 1,5 Endgeräten · 10 Endgeräte des Personals · Planungswert der IT: 50 Endgeräte und 150 m² je Zugangspunkt · 30 % der Endgeräte gleichzeitig aktiv
- Vorgaben der IT
- Gäste nur ins Internet, Endgeräte im Gäste-WLAN voneinander getrennt · Gebäudeautomation getrennt von Gästen und Lounge-Betrieb · Netzgeräte nur von der IT verwaltet · Fernzugriff von außen nur über den Zugang der Flughafen-IT
- Gebäudeautomation
- KNX über IP zwischen Visualisierungsserver und IP-Router -K10, KNX TP auf der Linie der Lounge · gesicherte Kommunikation nach der KNX-Norm möglich
Alle Werte zur Lounge J sind Unterrichtswerte.
Dein Lernprodukt im Einzelnen
Dein Lernprodukt
Netzkonzept und Sicherheitskonzept der Lounge J
Darauf laufen die Aufgaben dieses Lernangebots zu. Die Aufgaben sind die Stufen dorthin, das Lernprodukt ist das Ergebnis.
Es besteht aus
- dem Netzkonzept: Geräteliste mit Anschluss, Bereichen und VLAN-Nummern, Regeln zwischen den Bereichen, Zahl und Lage der Zugangspunkte, PoE-Budget, Belegung der Switchports und der USV
- dem Steckbrief des Zugangspunkts aus dem englischen Datenblatt, Begriffe deutsch und englisch
- dem Sicherheitskonzept für die Gebäudeautomation: Vorfälle mit Schutzziel, Angriffspunkte auf dem Weg eines Telegramms, technische und organisatorische Maßnahmen
- den Regeln für den Fernzugriff der Servicefirma
- den Festlegungen zum Datenschutz bei Präsenzdaten und Gäste-WLAN
Zur Dokumentation
Netzplan als Zeichnung, VLAN-Plan und Maßnahmen als Tabellen, Steckbrief auf einer halben Seite. Jede Regel hat einen Satz, weshalb, und jede Maßnahme einen Verantwortlichen: Elektrowerkstatt, IT des Flughafens, Servicefirma oder Betriebsleitung der Lounge.
Das Netzkonzept geht zur IT des Flughafens. Netz- und Sicherheitskonzept gehören zu Meilenstein M3 am Ende von Teil 5 und werden dort im Kreuzreview von einem anderen Team abgenommen.
8.1Ordne die Kommunikationsanlagen und die Verkabelung der Lounge J ein
Jetzt bist du dran · Allein · 6 ArbeitsschritteÖffnen ▾Schließen ▴
Aufgabe 8.1
Ordne die Kommunikationsanlagen und die Verkabelung der Lounge J ein:
- Nenne die Kommunikationsanlagen der Lounge.
- Unterscheide Primär-, Sekundär- und Tertiärbereich der strukturierten Verkabelung.
- Erkläre die Aufgabe des Patchfelds.
- Unterscheide Switch und Router.
- Berechne den Leitungsweg vom Netzschrank zu einer Anschlussdose an der Fassade in der linken oberen Ecke des Loungebereichs.
- Prüfe, ob diese Dose im Tertiärbereich angeschlossen werden kann.
Tabellenbuch Schlag im Sachwortverzeichnis nach: Gebäudeverkabelung · Tertiärbereich · Patchfeld · Switch · Router
Allein Diese Aufgabe bearbeitest du allein.
8.2Teile das Netz der Lounge J in Bereiche
Jetzt bist du dran · Mit Lernpartner · 6 ArbeitsschritteÖffnen ▾Schließen ▴
Aufgabe 8.2
Teile das Netz der Lounge J in Bereiche:
- Bilde Bereiche nach Aufgabe und Schutzbedarf der Geräte.
- Ordne jedes Gerät aus der Tabelle einem Bereich zu.
- Vergib für jeden Bereich eine VLAN-Nummer.
- Lege fest, welcher Bereich mit welchem sprechen darf.
- Begründe, in welchen Bereich das Tablet des Empfangs gehört und wie es die Visualisierung erreicht.
- Erkläre, weshalb die Netzgeräte selbst einen eigenen Bereich bekommen.
| Gerät | Bereich | VLAN-Nummer | darf sprechen mit | Begründung |
|---|---|---|---|---|
| Zugangspunkte (Gäste-WLAN) | ||||
| Zugangspunkte (Personal-WLAN) | ||||
| Tablet des Empfangs | ||||
| IP-Router -K10 | ||||
| Visualisierungsserver | ||||
| Kasse, Empfangsrechner, Bürorechner | ||||
| Telefone | ||||
| Sprechstelle Empfang | ||||
| Fluginfo-Bildschirme | ||||
| Musikzuspieler | ||||
| Verwaltung von Switch und Zugangspunkten |
Tabellenbuch Schlag im Sachwortverzeichnis nach: Switch · Netzwerkschutz · Firewall · Funk-LAN
Mit Lernpartner Diese Aufgabe bearbeitest du mit deinem Lernpartner. Vergleicht am Ende eure Ergebnisse.
8.3Bestimme die Zahl der WLAN-Zugangspunkte für die Lounge J
Jetzt bist du dran · Allein · 6 ArbeitsschritteÖffnen ▾Schließen ▴
Aufgabe 8.3
Bestimme die Zahl der WLAN-Zugangspunkte für die Lounge J:
- Berechne die Zahl der Endgeräte im WLAN.
- Berechne die Zahl der Zugangspunkte nach der Kapazität.
- Berechne die Zahl der Zugangspunkte nach der Fläche.
- Lege die Zahl der Zugangspunkte fest.
- Berechne die Datenrate, die jedem gleichzeitig aktiven Endgerät vom Uplink bleibt.
- Beurteile, ob diese Datenrate für Gäste in einer Lounge reicht.
Tabellenbuch Schlag im Sachwortverzeichnis nach: WLAN · Access-Point · Frequenzband
Allein Diese Aufgabe bearbeitest du allein.
8.4Werte das englische Datenblatt des Zugangspunkts aus
Jetzt bist du dran · Mit Lernpartner · 6 ArbeitsschritteÖffnen ▾Schließen ▴
Aufgabe 8.4
Technical data · Wireless access point (Auszug aus dem Datenblatt des Zugangspunkts, englisch)
| Parameter | Value |
|---|---|
| Product | Wireless access point, indoor, ceiling mount (vendor-neutral training example) |
| Wi-Fi standard | IEEE 802.11ax (Wi-Fi 6), backward compatible with IEEE 802.11a/b/g/n/ac |
| Radios | dual-band, concurrent operation: 2.4 GHz and 5 GHz |
| MIMO | 2 × 2 MU-MIMO on both bands |
| Max. data rate (theoretical) | 2.4 GHz: 574 Mbit/s · 5 GHz: 2,402 Mbit/s |
| Maximum clients | up to 512 associated clients per access point (technical limit) |
| SSIDs | up to 8 per radio |
| Security | WPA3-Personal, WPA3-Enterprise (IEEE 802.1X), WPA2 for legacy clients; client isolation per SSID |
| VLAN | VLAN tagging (IEEE 802.1Q), one VLAN per SSID, management VLAN configurable |
| Uplink | 1 × 1000BASE-T, RJ45 |
| Power supply | PoE+ (IEEE 802.3at), PoE class 4 |
| Power consumption | max. 25.5 W |
| Operating temperature | 0 °C to +40 °C |
| Mounting | ceiling, suspended or solid ceiling |
Werte das englische Datenblatt des Zugangspunkts aus:
- Übersetze die Begriffe in der Tabelle in deutsche Fachbegriffe.
- Trage die Werte aus dem Datenblatt ein.
- Prüfe, ob der Zugangspunkt die Vorgaben der IT für Gäste-WLAN und VLAN erfüllt.
- Berechne mit deiner Zahl der Zugangspunkte aus 8.3 die PoE-Leistung aller Geräte am Switch.
- Prüfe das PoE-Budget des Switchs.
- Erkläre, weshalb der Switch je Zugangspunkt mehr Leistung einplant, als das Datenblatt als Aufnahme nennt.
| englischer Begriff im Datenblatt | deutscher Fachbegriff | Wert | passt für die Lounge? weshalb? |
|---|---|---|---|
| dual-band | |||
| MU-MIMO | |||
| maximum clients | |||
| max. data rate | |||
| PoE+ (IEEE 802.3at), class 4 | |||
| power consumption | |||
| WPA3 | |||
| client isolation | |||
| VLAN tagging (IEEE 802.1Q) | |||
| operating temperature |
Tabellenbuch Schlag im Sachwortverzeichnis nach: Access-Point · PoE · Power over Ethernet · Datennetze,Komponenten
Mit Lernpartner Diese Aufgabe bearbeitest du mit deinem Lernpartner. Vergleicht am Ende eure Ergebnisse.
8.5Ordne Vorfälle in der Lounge J den Schutzzielen zu
Jetzt bist du dran · Mit Lernpartner · 5 ArbeitsschritteÖffnen ▾Schließen ▴
Aufgabe 8.5
Ordne Vorfälle in der Lounge J den Schutzzielen zu:
- Erkläre die vier Schutzziele Verfügbarkeit, Integrität, Vertraulichkeit und Authentizität.
- Ordne jedem Vorfall in der Tabelle das Schutzziel zu, das er vor allem verletzt.
- Nenne für jeden Vorfall eine technische Maßnahme.
- Nenne für jeden Vorfall eine organisatorische Maßnahme.
- Beurteile, welcher Vorfall für die Gäste die schwersten Folgen hätte.
| Vorfall | Schutzziel | technische Maßnahme | organisatorische Maßnahme |
|---|---|---|---|
| a) Der PoE-Switch fällt aus; am Tablet lassen sich keine Szenen mehr wählen. | |||
| b) Ein Gast liest im Gäste-WLAN mit, wann der Ruheraum belegt ist. | |||
| c) Jemand ändert in der Visualisierung unbemerkt die Reihenfolge des Lastabwurfs. | |||
| d) Ein Fremder meldet sich mit dem Standardpasswort der Servicefirma am Fernzugang an. | |||
| e) Ein Notebook mit der Projektdatei der KNX-Anlage wird aus einem Auto gestohlen. | |||
| f) Gäste streamen Videos, die Kasse bekommt keine Verbindung mehr. | |||
| g) An der Dose eines Tastsensors im Empfang klemmt jemand ein fremdes Gerät an den Bus, das Telegramme sendet. |
Tabellenbuch Schlag im Sachwortverzeichnis nach: Datensicherheit · Zugriffsschutz · Verschlüsselung · Cyberangriff
Mit Lernpartner Diese Aufgabe bearbeitest du mit deinem Lernpartner. Vergleicht am Ende eure Ergebnisse.
8.6Sichere den Weg zur Gebäudeautomation der Lounge J
Jetzt bist du dran · Mit Lernpartner · 6 ArbeitsschritteÖffnen ▾Schließen ▴
Aufgabe 8.6
Sichere den Weg zur Gebäudeautomation der Lounge J:
- Beschreibe den Weg eines Telegramms vom Tablet bis zum Dimmaktor -Q11 mit allen Stationen.
- Markiere auf dem Weg die Stellen, an denen ein Angreifer ansetzen könnte.
- Ordne jeder Stelle das Schutzziel zu, das dort bedroht ist.
- Lege für jede Stelle eine Maßnahme fest.
- Lege die Regeln für den Fernzugriff der Servicefirma fest.
- Erkläre, weshalb die Lounge bei einem Ausfall des Netzes trotzdem hell wird.
Tabellenbuch Schlag im Sachwortverzeichnis nach: Netzwerkschutz · Firewall · VPN · KNX · Fernwarten
Mit Lernpartner Diese Aufgabe bearbeitest du mit deinem Lernpartner. Vergleicht am Ende eure Ergebnisse.
8.7Lege fest, wie die Lounge J mit Präsenzdaten und WLAN-Daten umgeht
Jetzt bist du dran · Mit Lernpartner · 5 ArbeitsschritteÖffnen ▾Schließen ▴
Aufgabe 8.7
Lege fest, wie die Lounge J mit Präsenzdaten und WLAN-Daten umgeht:
- Erkläre, wann Präsenzdaten personenbezogene Daten sind.
- Lege fest, welche Präsenz- und Ereignisdaten die Visualisierung speichert und wie lange.
- Beschreibe, was Gäste vor der Nutzung des Gäste-WLAN erfahren müssen.
- Begründe, weshalb die Lounge möglichst wenige Daten über die Endgeräte der Gäste speichert.
- Beurteile den Wunsch, mit den Präsenzmeldern die Anwesenheit des Personals auszuwerten.
Tabellenbuch Schlag im Sachwortverzeichnis nach: Datenschutz · DSGVO · Schützen von Daten
Mit Lernpartner Diese Aufgabe bearbeitest du mit deinem Lernpartner. Vergleicht am Ende eure Ergebnisse.
8.8Stellt Netzkonzept und Sicherheitskonzept der Lounge J für die IT des Flughafens fertig
Jetzt bist du dran · Im Team · 6 ArbeitsschritteÖffnen ▾Schließen ▴
Aufgabe 8.8
Stellt Netzkonzept und Sicherheitskonzept der Lounge J für die IT des Flughafens fertig:
- Zeichnet den Netzplan mit allen Geräten, Bereichen und VLAN-Nummern.
- Tragt die Zugangspunkte mit ihrer Lage in den Grundriss ein.
- Belegt die Ports des Switchs und gebt die Reserve an.
- Legt fest, welche Geräte an der USV hängen, und begründet die Auswahl.
- Fasst Vorfälle, Angriffspunkte, Maßnahmen, Fernzugriff und Datenschutz zum Sicherheitskonzept zusammen.
- Prüft, ob die IT das Konzept ohne Rückfrage versteht.
Tabellenbuch Schlag im Sachwortverzeichnis nach: Netzwerkkommunikation · Datennetze,Komponenten · Datensicherheit · Sternstruktur
Im Team Diese Aufgabe bearbeitet ihr im Projektteam. Jede und jeder kann das Ergebnis am Ende erklären.
Die Lage ändert sich
Die Servicefirma der KNX-Anlage schreibt: „Lasst den Fernzugang doch dauerhaft offen, mit einem festen Passwort für unsere Techniker. Dann sind wir bei einer Störung in fünf Minuten drauf, ohne erst bei der IT anzurufen.“
Überprüfe dein Lernprodukt an diesem Fall:
- Prüfe an deinem Sicherheitskonzept, welche Schutzziele ein dauerhaft offener Zugang mit festem Passwort gefährdet.
- Beurteile, was die Lounge dabei gewinnt und was sie riskiert.
- Formuliere eine Antwort an die Servicefirma mit einem Vorschlag, der schnell und sicher ist.
Mit Lernpartner Diese Überprüfung macht ihr zu zweit. Wer beide Fälle erklären kann, hat die Sache verstanden.