🔐 Websicherheit: Client, Server & Verschlüsselung
Inhalt
Google Docs, Online-Banking, WordPress — was diese Anwendungen gemeinsam haben: Sie laufen nicht nur auf deinem Gerät, sondern brauchen ständig einen Server im Hintergrund. Genau darum geht es in dieser Kachel: wie Client und Server zusammenspielen, wer bei einer Webanwendung was sehen oder ändern darf, und wie deine Daten dabei verschlüsselt werden, ohne dass beide Seiten vorher ein gemeinsames Geheimnis austauschen müssen.
Das Thema ist auch für dein Projekt in dieser Klassenstufe direkt relevant: Ihr werdet mit WordPress arbeiten, und genau dort entscheiden Zugriffsrechte darüber, wer eure gemeinsame Website verändern darf.
💻 Client und Server: wo laufen deine Daten wirklich?
Bei einer lokalen Anwendung (z. B. eine klassisch installierte Textverarbeitung ohne Cloud-Anbindung) läuft alles auf deinem eigenen Gerät: Speichern, Berechnen, Anzeigen. Bei einer webbasierten Anwendung (z. B. Google Docs oder Online-Banking) ist das anders: Dein Gerät, der Client, zeigt nur die Oberfläche an und schickt Anfragen an einen Server, der irgendwo im Internet steht. Der Server speichert die eigentlichen Daten und übernimmt oft auch Berechnungen.
Öffne Google Docs kurz ohne Internetverbindung (z. B. Flugmodus). Was funktioniert noch, was nicht? Überlege, warum genau das passiert.
🔍 Lokal vs. webbasiert im Vergleich
| Lokale Anwendung | Webbasierte Anwendung | |
|---|---|---|
| Wo laufen die Daten? | Auf deinem Gerät | Meist auf einem Server |
| Ohne Internet nutzbar? | Ja | Meist nicht oder eingeschränkt |
| Zugriff von mehreren Geräten? | Nur schwer | Einfach, gleicher Stand überall |
| Beispiel | Lokal installierte Textverarbeitung | Google Docs, Online-Banking |
Damit Client und Server sich überhaupt verstehen, brauchen sie eine gemeinsam vereinbarte Regel, ein Netzwerkprotokoll. Im Web ist das meistens HTTP (HyperText Transfer Protocol). Bei HTTPS kommt zusätzlich Verschlüsselung dazu, das "S" steht für "Secure". Das erkennst du am Schloss-Symbol in der Adresszeile deines Browsers.
🔑 Zugriffsrechte: wer darf was?
Eine Webanwendung kennt meist mehrere Nutzer gleichzeitig, deshalb braucht es klare Zugriffsrechte: Wer darf einen Inhalt nur ansehen, wer darf ihn kommentieren, wer darf ihn wirklich verändern? Bei einem gemeinsamen Dokument in Google Docs oder OnlyOffice kennst du das schon:
| Freigabestufe | Was ist möglich? |
|---|---|
| 👁️ Nur lesen | Inhalt ansehen, nichts verändern |
| 💬 Kommentieren | Anmerkungen hinterlassen, Text bleibt unverändert |
| ✏️ Bearbeiten | Inhalt direkt verändern, ergänzen oder löschen |
In WordPress, dem System, mit dem ihr im Projekt später eure eigene Website baut, ist das ähnlich, nur mit Nutzerrollen statt Freigabestufen: Ein Administrator darf Website-Einstellungen ändern und über Nutzerrechte anderer entscheiden. Ein Autor darf eigene Beiträge schreiben und veröffentlichen, aber nicht die ganze Website umbauen. Ein Nutzer ganz ohne Rechte kann die Seite meist nur lesen.
Überlege: Warum wäre es riskant, in einem Gruppenprojekt allen Mitgliedern automatisch Administratorrechte zu geben, statt nur Autorrechte?
📝 Objekte in einer Webanwendung: das Beispiel Blogbeitrag
Aus Klasse 7 kennst du Klassen und Objekte schon in Grundzügen. In einer Webanwendung begegnen dir Objekte ständig, ohne dass du groß darüber nachdenkst. Ein einzelner Blogbeitrag in WordPress ist zum Beispiel ein Objekt: Er hat Attribute wie Titel, Erscheinungsdatum und Autor, also gespeicherte Werte. Und er hat Methoden, mit denen sich diese Attributwerte ändern lassen, zum Beispiel ein Klick auf "Bearbeiten", der über einen API-Aufruf im Hintergrund den Titel des Beitrags aktualisiert.
🔍 Noch ein Beispiel: dein Nutzerkonto als Objekt
Auch dein Nutzerkonto in einer Webanwendung ist ein Objekt, mit Attributen wie Benutzername, E-Mail-Adresse und Passwort. Die Methode "Passwort ändern" verändert gezielt genau ein Attribut dieses Objekts, den Rest lässt sie unangetastet.
🔒 Verschlüsselung ohne gemeinsames Geheimnis: asymmetrische Verschlüsselung
Wenn du eine geheime Nachricht mit jemandem austauschen willst, bräuchte ihr eigentlich vorher einen gemeinsamen Schlüssel. Aber wie tauscht man den sicher aus, wenn die Verbindung selbst nicht sicher ist? Genau dieses Problem löst die asymmetrische Verschlüsselung mit einem Trick: Es gibt nicht einen, sondern zwei zusammengehörige Schlüssel, einen öffentlichen und einen privaten.
Am einfachsten verstehst du das mit dem Vorhängeschloss-Prinzip: Klick dich durch die vier Schritte:
Wichtig dabei: Verschlüsseln (Schloss zuschnappen lassen) ist mit dem öffentlichen Schlüssel leicht möglich für jeden. Aber Entschlüsseln (Schloss wieder öffnen) ist ohne den privaten Schlüssel praktisch unmöglich. Man nennt so etwas eine Einwegfunktion: In eine Richtung ist die Berechnung leicht, umgekehrt extrem schwer.
🔍 Warum "extrem schwer" und nicht "unmöglich"?
Theoretisch könnte man jeden möglichen privaten Schlüssel einfach ausprobieren, bis der richtige passt. Praktisch scheitert das an der Rechenleistung: Die Anzahl möglicher Schlüssel ist so riesig, dass selbst sehr starke Computer dafür länger bräuchten als das Universum existiert. Genau darauf beruht die Sicherheit von HTTPS, Online-Banking und vielen anderen verschlüsselten Verbindungen im Internet.
🃏 Lernkarten
Zum Auswendiglernen: Karte antippen zum Umdrehen.
⭐ Üben
Fragen werden geladen …
🎮 Stundenaufgabe
Wähle eine Vertiefung, danach geht es an die praktische Übung:
YouTube-Video ansehen
Suche nach "Asymmetrische Verschlüsselung einfach erklärt"
Rollenspiel Vorhängeschloss
Zu zweit das Verschlüsselungsprinzip nachspielen
Mit KI besprechen
Prompt kopieren und in eine KI einfügen
Rolle: Du bist ein geduldiger Lernpartner für Informatik. Aufgabe: Frag mich nacheinander ab, was Client, Server, Netzwerkprotokoll, Zugriffsrechte, öffentlicher Schlüssel, privater Schlüssel und Einwegfunktion jeweils bedeuten, und lass mich raten, bevor du die Antwort verrätst. Nenne danach ein Alltagsbeispiel für jeden Begriff. Kontext: Ich bin in Klasse 10 und bereite mich auf eine Kurzkontrolle zu Websicherheit vor. Stil: Direkt und klar, nicht kindlich, mit Alltagsbeispielen.
🗂️ Zugriffsrechte praktisch testen
Legt gemeinsam ein LernSax-/OnlyOffice-Dokument an und probiert die Freigabestufen wirklich aus:
- Eine Person legt ein Dokument an und gibt es an eine zweite Person zunächst nur mit "nur lesen" frei. Versucht gemeinsam, etwas zu ändern. Was passiert?
- Ändert die Freigabe auf "kommentieren". Hinterlasst einen Kommentar an einer Textstelle. Könnt ihr den eigentlichen Text trotzdem verändern?
- Ändert die Freigabe auf "bearbeiten". Verändert jetzt gemeinsam denselben Satz gleichzeitig. Was beobachtet ihr?
- Haltet in ein bis zwei Sätzen fest: Welche Freigabestufe würdet ihr für ein Gruppenreferat wählen, an dem alle mitschreiben sollen, und welche für ein Dokument, das nur zur Info an andere geht?
🔐 Echten PGP-Schlüssel erstellen
Bevor es abstrakt weitergeht: Legt euch bei Schullogin einen echten PGP-Schlüssel an — genau das Prinzip der asymmetrischen Verschlüsselung, aber live in einem Werkzeug, das ihr wirklich nutzt.
- Bei schullogin.de anmelden und die Kachel "Nachrichten" öffnen.
- Links im Menü auf "Einstellungen" klicken.
- Dort "PGP-Schlüssel" auswählen.
- Oben rechts auf "Erstellen" klicken, Schlüsseltyp auswählen und ein Passwort vergeben.
Ausführliche Anleitung mit Screenshots: docs.schullogin.de
🔍 Client-Server-Recherche
Wählt zu zweit eine bekannte Webanwendung (z. B. WhatsApp Web, Google Docs, eine Online-Spiele-Plattform) und analysiert sie:
- Was läuft eurer Einschätzung nach lokal auf eurem Gerät (Client), was auf einem Server?
- Was passiert, wenn ihr die Anwendung ohne Internetverbindung öffnet? Testet es, falls möglich.
- Findet heraus, ob die Anwendung mit HTTPS läuft (Schloss-Symbol in der Adresszeile prüfen).
- Stellt eurer Gruppe in zwei bis drei Sätzen vor, was ihr herausgefunden habt.
🔑 Verschlüsselungs-Rollenspiel
Spielt zu zweit das Vorhängeschloss-Prinzip nach, ganz ohne echte Technik:
- Person A ist der Empfänger: Sie besitzt ein "privates Schloss" (einen Schlüssel, ein Wort oder ein Symbol, das nur sie kennt) und gibt allen anderen eine Kopie ihres "offenen Schlosses" (z. B. einen bestimmten Umschlag oder ein bestimmtes Symbol zum "Verschließen").
- Person B ist der Absender: Sie schreibt eine kurze Nachricht auf und "verschließt" sie sichtbar mit dem offenen Schloss von Person A (z. B. Umschlag zukleben, Symbol daraufmalen).
- Eine dritte Person (oder die Lerngruppe) versucht, die "verschlossene" Nachricht ohne den privaten Schlüssel zu öffnen. Gelingt das?
- Nur Person A "öffnet" die Nachricht mit ihrem privaten Schlüssel. Besprecht danach: An welcher Stelle im Spiel hättet ihr geschummelt, wenn ihr Kriminelle wärt, und warum klappt das in echt nicht?
Recherchiert: Wofür steht die Abkürzung "RSA" bei asymmetrischer Verschlüsselung, und wer hat das Verfahren entwickelt? Sucht dabei bewusst keine mathematische Herleitung, sondern nur die Grundidee und den geschichtlichen Hintergrund.
> ALARM: Agent X hat das Schularchiv gesperrt.
> Knackt Caesar, Atbash, Morse und Binärcode, um das Passwort zu finden._