KI-BausteinSprint 5 · Netzdienste⏱ 90 MinutenKMK-Rahmen KI 4.1.2 Datenschutz · 1.2.2 Primärquelle

Sprint 5Brückenstufe 3

Eure Story: Ihr richtet DHCP, DNS, NTP, LDAP, Web und Mail ein und testet jeden Dienst, damit die Anmeldung in jeder Schicht klappt.

Input · KI-Baustein. Holt ihn euch, wenn eure Storycard danach fragt. Zahlt ein auf AB 7.

0 von 7 AB abgehakt AB-Liste öffnen

Ein Studierender aus eurem Kurs hat das Fehlerprotokoll zu rb-07 vollständig in einen Chatbot kopiert und gefragt, was los ist. Die Antwort klingt sicher. Du machst es richtig: erst schwärzen, was nicht ins Fenster gehört, dann die Diagnose der KI Zeile für Zeile am Protokoll, an der RFC und an der Herstellerdoku prüfen.

Der wichtigste Satz auf dieser Seite: Ein Chatbot sieht nur, was du ihm gibst, und behält es womöglich. Gib ihm die Werte, die er für die Diagnose braucht, und keinen Namen, keine Adresse, kein Konto. Und glaub ihm erst, wenn das Protokoll ihm recht gibt.

Erst du

Lies das Protokoll unten, bevor du irgendetwas in einen Chatbot gibst. An welchem Rechner liegt nach deiner Vermutung der Fehler: am Domänencontroller, am Zeitserver oder am Client? Und welche Zeilen dürften nach deiner Meinung nicht ins Chatfenster?

Aufgabe K5 kommt auf deine Vermutung zurück.

Das Protokoll, so wie es kopiert wurde

=== srv01.szt3.internal: /var/log/samba/log.samba (Auszug) ===
[2026/11/09 06:06:41.512331,  3] Kerberos: AS-REQ lena.kaya@SZT3.INTERNAL from ipv4:10.30.0.127:53122 for krbtgt/SZT3.INTERNAL@SZT3.INTERNAL
[2026/11/09 06:06:41.512610,  3] Kerberos: Too large time skew, client time 2026-11-09T06:11:52, server time 2026-11-09T06:06:41, principal lena.kaya@SZT3.INTERNAL
[2026/11/09 06:06:58.104227,  3] Kerberos: AS-REQ lena.kaya@SZT3.INTERNAL from ipv4:10.30.0.127:53140 for krbtgt/SZT3.INTERNAL@SZT3.INTERNAL
[2026/11/09 06:06:58.104502,  3] Kerberos: Too large time skew, client time 2026-11-09T06:12:09, server time 2026-11-09T06:06:58, principal lena.kaya@SZT3.INTERNAL

=== srv01.szt3.internal: chronyc tracking ===
Reference ID    : 0A1E000B (srv02.szt3.internal)
Stratum         : 4
Ref time (UTC)  : Mon Nov 09 05:05:58 2026
System time     : 0.000041 seconds slow of NTP time
Last offset     : -0.000018 seconds
RMS offset      : 0.000052 seconds
Frequency       : 11.204 ppm fast
Leap status     : Normal

=== rb-07: w32tm /query /status ===
Leap-Indikator: 3(nicht synchronisiert)
Stratum: 0 (nicht angegeben)
Quelle: Local CMOS Clock

Protokollzeilen für den Unterricht nachgebildet und gekürzt; echte Ausgaben sehen je nach Version etwas anders aus. Name und Adressen sind Unterrichtswerte, der Name ist erfunden.

Deine Aufgaben

K1Schwärze das Protokoll, bevor es in ein Chatfenster geht
Jetzt bist du dran · Allein · 4 Arbeitsschritte
zahlt ein auf AB 7Öffnen ▾Schließen ▴

Aufgabe K1

Schwärze das Protokoll, bevor es in ein Chatfenster geht:

  • Markiere jede Stelle, die einen internen Namen, eine Adresse oder ein Konto verrät. Achte auch auf Werte, die eine Adresse verstecken.
  • Lege eine Tabelle an: Fundstelle, Art, Platzhalter, braucht die KI das?
  • Ersetze jede Stelle durch einen festen Platzhalter, so dass gleiche Dinge gleiche Platzhalter bekommen.
  • Prüfe am Ende: Kann jemand, der das geschwärzte Protokoll liest, noch auf das Schulungszentrum schließen? Lässt sich die Diagnose noch stellen?

Allein Diese Aufgabe bearbeitest du allein.

K2Gib der KI den Auftrag mit dem geschwärzten Protokoll
Jetzt seid ihr dran · Zu zweit · 3 Arbeitsschritte
zahlt ein auf AB 7Öffnen ▾Schließen ▴

Aufgabe K2

Gib der KI den Auftrag mit dem geschwärzten Protokoll:

  • Nimm den Chatbot, den eure Schule freigegeben hat, oder ein lokales Sprachmodell im Labor.
  • Kopiere den Auftrag unten und setz dein geschwärztes Protokoll ein.
  • Sichere die Antwort im Wissensspeicher, unverändert.

Zu zweit Diese Aufgabe bearbeitet ihr zu zweit.

Hier ist ein Fehlerprotokoll aus einer Windows-Domäne mit Samba als Domänencontroller. Namen und Adressen sind durch Platzhalter ersetzt. Seit Montag klappt die Anmeldung an einem Client nicht. Was ist die Ursache, an welchem Rechner liegt sie, und was soll ich tun? Begründe jede Aussage mit einer Zeile aus dem Protokoll.

[hier das geschwärzte Protokoll einfügen]
Kein Chatbot an deiner Schule freigegeben? Prüf diese Antwort

Antwort eines Chatbots auf genau diesen Auftrag

Die Anmeldung scheitert an Kerberos. Im Samba-Protokoll steht „Too large time skew“: Client und Server liegen 5 Minuten und 11 Sekunden auseinander (06:11:52 gegen 06:06:41). Kerberos erlaubt in der Standardeinstellung höchstens 5 Minuten, deshalb lehnt der Domänencontroller die Anmeldung von BENUTZER-1 ab.

Falsch geht die Uhr von SERVER-1. In chronyc tracking steht Stratum 4. Je höher der Stratum, desto ungenauer ist eine Uhr; ein verlässlicher Server sollte Stratum 1 oder 2 haben. Stell die Uhr auf SERVER-1 sofort mit sudo chronyc makestep und starte danach Samba neu: sudo systemctl restart samba-ad-dc.

Damit es nicht wieder passiert: Windows-Clients einer Domäne holen ihre Zeit über die Domänenhierarchie vom Domänencontroller. Dafür muss chrony auf dem Domänencontroller signierte Antworten über den Socket ntp_signd liefern. Erhöhe die erlaubte Abweichung von 5 Minuten nicht, sie schützt vor wiederverwendeten Anmeldedaten.

K3Prüfe die Diagnose der KI Zeile für Zeile am Protokoll
Jetzt seid ihr dran · Zu zweit · 4 Arbeitsschritte
zahlt ein auf AB 7Öffnen ▾Schließen ▴

Aufgabe K3

Prüfe die Diagnose der KI Zeile für Zeile am Protokoll:

  • Zerlege die Antwort in einzelne Aussagen.
  • Schreib zu jeder Aussage die Protokollzeile, auf die sie sich stützt, oder „keine“.
  • Markiere jede Aussage als belegt, widerlegt oder nicht belegt.
  • Finde die Aussage, die das Protokoll selbst widerlegt, und die Zeilen, die das zeigen.

Zu zweit Diese Aufgabe bearbeitet ihr zu zweit.

K4Prüfe die Fachbegriffe der KI an RFC und Herstellerdoku
Jetzt seid ihr dran · Zu zweit · 4 Arbeitsschritte
zahlt ein auf AB 7Öffnen ▾Schließen ▴

Aufgabe K4

Prüfe die Fachbegriffe der KI an RFC und Herstellerdoku:

  • Schlag in RFC 5905 nach, was der Stratum-Wert bedeutet.
  • Schlag in der chrony-Dokumentation nach, was die Zeile „System time“ in chronyc tracking angibt.
  • Prüfe die 5 Minuten und die Zeitholung der Windows-Clients an der Microsoft-Dokumentation zu w32time und Kerberos.
  • Notiere zu jeder Prüfung Quelle und Abschnitt.

Nachschlagen Suchbegriffe für Handbuch, Herstellerdoku und RFC: RFC 5905 stratum · chronyc tracking System time · w32time NT5DS · Maximale Toleranz für die Synchronisation der Computeruhr

Zu zweit Diese Aufgabe bearbeitet ihr zu zweit.

K5Gleich mit dem Kurs ab und kehr zu deiner Vermutung zurück
Jetzt seid ihr dran · Im Team · 4 Arbeitsschritte
zahlt ein auf AB 7Öffnen ▾Schließen ▴

Aufgabe K5

Gleich mit dem Kurs ab und kehr zu deiner Vermutung zurück:

  • Nimm deinen Rechenweg aus Aufgabe 9.6. Die Plätze in Raum B wurden am 29.08.2026 installiert, das Protokoll stammt vom 09.11.2026. Passt der Versatz im Protokoll zu deiner Rechnung?
  • Vergleiche die Abhilfe der KI mit deiner Abhilfe aus Aufgabe 9.7.
  • Was wäre passiert, wenn jemand um 6:07 Uhr den Rat der KI befolgt hätte?
  • Lies deine Vermutung oben noch einmal. Stimmt sie?

Im Team Diese Aufgabe bearbeitet ihr im Team.

K6Schreib Befund und Regel für euer Team
Jetzt seid ihr dran · Im Team · 3 Arbeitsschritte
zahlt ein auf AB 7Öffnen ▾Schließen ▴

Aufgabe K6

Schreib Befund und Regel für euer Team:

  • Schreib den Befund in drei Sätzen: Ursache, Beleg, Abhilfe.
  • Schreib eine Regel mit höchstens fünf Sätzen: Was aus einem Protokoll darf in einen Chatbot, was nur in einen freigegebenen oder lokalen, was nie?
  • Setz den KI-Vermerk darunter: wofür ihr die KI genutzt habt, was ihr geschwärzt und was ihr geprüft habt.

Im Team Diese Aufgabe bearbeitet ihr im Team.

Lösungen

Erst selbst arbeiten, dann aufklappen.

K1 · Was geschwärzt wird prüft AB 7

Die Aufgabe: Namen, Adressen und Konten finden und ersetzen, Diagnose erhalten.

Ansatz

Alles, was auf Ort, Netz oder Person schließen lässt, wird ersetzt. Alles, was die Diagnose trägt, bleibt.

Schritt für Schritt

Fundstelle Art Platzhalter Braucht die KI das?
srv01.szt3.internal, srv02.szt3.internal interne Rechnernamen SERVER-1, SERVER-2 nur die Rolle: Domänencontroller, Zeitserver
SZT3.INTERNAL Domäne und Kerberos-Realm DOMAENE nein
lena.kaya Benutzername, personenbezogen BENUTZER-1 nein
10.30.0.127 Adresse des Clients ADRESSE-1 nein
0A1E000B in der Reference ID versteckte Adresse: 0A 1E 00 0B ist hexadezimal 10.30.0.11 REF-ID nein, der Name in Klammern sagt genug
rb-07 Rechnername, verrät Raum und Platz CLIENT-1 nein
Zeitstempel, Versatz, Stratum, Leap, Quelle, Fehlertext technische Werte bleiben stehen ja, darauf beruht die Diagnose

Die Falle ist die Reference ID: Für IPv4-Quellen zeigt chrony dort die Adresse der Quelle in Hexadezimalschreibweise. 0A = 10, 1E = 30, 00 = 0, 0B = 11. Wer nur nach „10.30.“ sucht, übersieht sie. Auch der Pfad /var/log/samba darf bleiben, er verrät nur, dass Samba läuft.

Nie ins Fenster gehören Passwörter, Kerberos-Tickets und Keytabs, Schlüssel von Zertifikaten und vollständige Konfigurationsdateien mit Zugangsdaten. Bei höherer Protokollstufe schreibt Samba mehr in die Logdatei; prüfe deshalb jede Zeile, nicht nur die ersten.

Hier geht es am häufigsten schief

  • Nur die Adressen mit 10.30. gesucht und die Reference ID übersehen.
  • Auch die Zeitstempel geschwärzt: Dann kann niemand mehr den Versatz sehen.
  • Für srv01 an zwei Stellen verschiedene Platzhalter vergeben, dann verwechselt die KI die Rechner.
K3 · Die Antwort am Protokoll prüft AB 7

Die Aufgabe: Aussagen zerlegen, belegen oder widerlegen.

Ansatz

Jede Aussage braucht eine Zeile. Was keine Zeile hat, ist nicht belegt.

Schritt für Schritt

Aussage der KI Zeile im Protokoll Urteil
Die Anmeldung scheitert an Kerberos wegen zu großem Zeitversatz. „Too large time skew“ belegt
Der Versatz ist 5 min 11 s. client time 06:11:52, server time 06:06:41 belegt, richtig gerechnet
Falsch geht die Uhr von SERVER-1. chronyc tracking: System time 0.000041 seconds slow, Leap status Normal, Quelle SERVER-2 widerlegt
Stratum 4 heißt ungenau. keine nicht belegt, fachlich falsch (K4)
Abhilfe: makestep und Samba neu starten. keine folgt aus der falschen Aussage
Windows holt die Zeit über die Domänenhierarchie, ntp_signd nötig. keine im Protokoll, aber Kursstoff richtig, an der Doku prüfen
Toleranz nicht erhöhen. keine richtig, gute Empfehlung

Der Fehler sitzt am Client: CLIENT-1 meldet Quelle Local CMOS Clock und Leap-Indikator 3, nicht synchronisiert. SERVER-1 weicht nur um 41 Mikrosekunden von seiner Quelle ab. Die KI hat aus zwei auseinanderlaufenden Uhren die falsche gewählt, weil sie einen Fachbegriff falsch deutet. Typisch: Rechnung richtig, Schluss falsch, Ton sicher.

Hier geht es am häufigsten schief

  • Die Antwort als richtig abgehakt, weil der erste Absatz stimmt.
  • Nur die Rechnung nachgeprüft, nicht den Schluss daraus.
K4 · An RFC und Doku prüft AB 7

Die Aufgabe: Stratum, System time, 5 Minuten, NT5DS nachschlagen.

Ansatz

Primärquelle statt Gedächtnis, mit Abschnitt.

Schritt für Schritt

  • Stratum, RFC 5905: Der Stratum-Wert gibt den Abstand zur Referenzuhr in der Hierarchie an: 1 für einen Primärserver an einer Referenzuhr, jeder weitere Schritt eins mehr, 16 für nicht synchronisiert (Beschreibung der Paketfelder in Abschnitt 7.3). Über die Genauigkeit einer Uhr sagt er nichts. Stratum 4 im Schulungszentrum ist normal: Pool-Server, srv02, srv01.
  • System time, chrony-Doku zu chronyc tracking: der aktuelle Versatz der Systemuhr gegenüber der NTP-Zeit. 0,000041 s heißt: srv01 läuft praktisch genau.
  • 5 Minuten, Microsoft-Dokumentation: Die Kerberos-Richtlinie „Maximale Toleranz für die Synchronisation der Computeruhr“ steht standardmäßig auf 5 Minuten; Samba arbeitet mit demselben Standardwert.
  • NT5DS, Microsoft-Dokumentation zu w32time: Domänenmitglieder holen die Zeit standardmäßig über die Domänenhierarchie. Auf CLIENT-1 ist das nicht so: Die Quelle Local CMOS Clock zeigt, dass er gar keine Zeit von außen bekommt.

Hier geht es am häufigsten schief

  • „Stand so auch bei einer anderen KI“ als Beleg genommen.
K5 · Abgleich mit dem Kurs prüft AB 7

Die Aufgabe: Versatz nachrechnen, Abhilfe vergleichen, Folgen des KI-Rats.

Ansatz

Werte aus Aufgabe 9.6 auf die Tage zwischen Installation und Protokoll anwenden.

Schritt für Schritt

Tage = 09.11.2026 minus 29.08.2026 = 72 Tage

Versatz = 72 · 4,32 s = 311 s = 5 min 11 s

Das passt genau zum Protokoll: Die Uhr von rb-07 geht 5 min 11 s vor. Die Grenze von 5 Minuten hat sie nach 69,4 Tagen überschritten (Aufgabe 9.6), also kurz vor dem Ticket. Die richtige Abhilfe steht in Lösung 9.7: am Client die Domänenhierarchie zurückholen und alle Plätze aus dem Abbild prüfen.

Folgen des KI-Rats: chronyc makestep auf srv01 ändert nichts, weil die Uhr dort stimmt. Der Neustart von Samba um 6:07 Uhr wirft aber alle aus, die gerade in der Frühschicht angemeldet sind, und rb-07 geht danach immer noch nicht.

K6 · Befund und Regel prüft AB 7

Die Aufgabe: Befund mit Beleg, Regel für das Team, KI-Vermerk.

Ansatz

Kurz, prüfbar, mit Quelle.

Schritt für Schritt

Befund (Muster): „Die Anmeldung an rb-07 scheitert, weil seine Uhr 5 min 11 s vorgeht; Kerberos erlaubt höchstens 5 Minuten. Beleg: Samba meldet Too large time skew, rb-07 hat als Quelle Local CMOS Clock, srv01 ist mit srv02 synchronisiert. Abhilfe: w32time auf rb-07 auf die Domänenhierarchie stellen, alle Plätze aus dem Abbild prüfen.“

Regel (Muster): „Protokolle gehen nur geschwärzt in einen Chatbot. Namen, Adressen, Konten und versteckte Adressen ersetzen wir durch feste Platzhalter, Zeiten und Fehlertexte bleiben. Passwörter, Tickets, Schlüssel und ganze Konfigurationen gehen nie hinein, auch nicht in einen freigegebenen. Ungeschwärzt arbeiten wir höchstens mit einem lokalen Modell im Labor. Jede Diagnose prüfen wir am Protokoll und an einer Primärquelle, bevor wir etwas ändern.“

KI-Vermerk (Muster): „KI genutzt für einen ersten Diagnosevorschlag zu einem geschwärzten Protokoll. Geschwärzt: Rechnernamen, Domäne, Benutzer, Adressen, Reference ID. Geprüft: jede Aussage am Protokoll, Stratum an RFC 5905, Zeitbezug an der Doku von chrony und w32time. Übernommen: Diagnose Zeitversatz. Verworfen: Ort der falschen Uhr und Abhilfe.“

Für Lehrkräfte

So setzt du den Baustein ein

Eine eigene Lektion zu 90 Minuten am Ende von Teil 5, wenn Aufgabe 9.6 und 9.7 bearbeitet sind. Ablauf: 10 min ankommen und Vermutung, 20 min schwärzen (K1), 15 min KI fragen (K2), 30 min prüfen (K3 bis K5), 15 min Befund, Regel und KI-Vermerk (K6), danach in den Wissensspeicher.

Ohne freigegebenen Chatbot

Solange an deiner Schule nicht geklärt ist, welcher Chatbot erlaubt ist, nutzen die Studierenden in K2 die fertige Antwort unter dem Auftrag. Sie ist typisch: Rechnung und Fachbegriffe klingen sicher, der Schluss ist falsch, weil ein Begriff falsch gedeutet wird, und der Rat hätte im Betrieb Folgen. Ein eingebauter Fehler genügt; mehr verwischt die Übung. Gib keinen Hinweis, welche Aussage falsch ist.

Laborvorschlag: lokales Sprachmodell

Wenn im Labor ein lokales Sprachmodell läuft, etwa mit Ollama auf einem Laborrechner, lass ein Team das ungeschwärzte und ein anderes das geschwärzte Protokoll eingeben und vergleicht die Antworten. Fast immer ist die Diagnose gleich gut. Das ist das stärkste Argument für das Schwärzen: Es kostet keine Qualität.

Woran du gute Ergebnisse erkennst
  • Die Reference ID ist als versteckte Adresse erkannt.
  • Zeitstempel und Fehlertexte sind stehen geblieben, gleiche Dinge haben gleiche Platzhalter.
  • Jede Aussage der KI hat eine Zeile oder das Urteil „nicht belegt“.
  • Stratum ist mit RFC 5905 belegt, nicht mit einer zweiten KI.
  • Der Befund nennt rb-07 als Ursache und die Folge des KI-Rats.
  • Regel und KI-Vermerk sind konkret.

Typische Lücke: Die Studierenden finden den falschen Rechner, übernehmen aber die Abhilfe „Samba neu starten“ trotzdem. Frag nach: Was passiert um 6:07 Uhr in Raum A?

Abdeckung KMK-Kompetenzrahmen KI

Schwerpunkt 4.1.2 Datenschutz: Die Studierenden entscheiden, welche Daten eines Betriebsprotokolls in ein KI-System gehören, und schwärzen planvoll. Dazu 1.2.2 Primärquelle: Sie prüfen eine KI-Diagnose am Protokoll, an RFC 5905 und an der Herstellerdokumentation. Nebenbei Kennzeichnen mit dem KI-Vermerk (K6).

Zum Nachlesen
  • RFC 5905 NTPv4, Abschnitt 7.3: rfc-editor.org/rfc/rfc5905
  • chrony, Dokumentation zu chronyc tracking: chrony-project.org
  • Samba-Wiki, Time Synchronisation: wiki.samba.org
  • Microsoft Learn: Windows Time Service und Kerberos-Richtlinien
  • Werte aus FT CN LF 4, Teil 5, Lösungen 9.6 und 9.7 (Gangabweichung 50 ppm, 4,32 s je Tag, Grenze nach 69,4 Tagen). Die Antwort im Notweg ist eine typische Chatbot-Antwort, für den Unterricht formuliert.
ZurückWeiter