Was ist ein Netzwerk?What is a network?

Ein Netzwerk verbindet mehrere Geräte, damit sie Daten austauschen und Ressourcen gemeinsam nutzen können. Dieser Artikel klärt die Grundbegriffe, zeigt die wichtigsten Bauformen, Medien und Geräte und erklärt, wie aus vielen einzelnen Netzen das Internet entsteht.A network connects multiple devices so they can exchange data and share resources. This article covers the core terms, the most important building blocks, media and devices, and explains how many individual networks combine into the Internet.

GrundbegriffeBasic terms

Ein Knoten (Host) ist jedes adressierbare Gerät im Netz, etwa ein PC, Server, Drucker oder Smartphone. Das Übertragungsmedium ist der physische oder drahtlose Pfad, über den Bits laufen. Ein Protokoll ist das vereinbarte Regelwerk, das Format, Reihenfolge und Bedeutung der Nachrichten festlegt.A node (host) is any addressable device on the network, such as a PC, server, printer or smartphone. The transmission medium is the physical or wireless path over which bits travel. A protocol is the agreed set of rules defining the format, order and meaning of messages.

• Knoten/Host: Endgerät oder Vermittlungsgerät mit einer Adresse (z. B. 192.168.1.10).Node/host: end or intermediary device with an address (e.g. 192.168.1.10).
• Medium: Kupfer (Twisted Pair), Glasfaser oder Funk (WLAN).Medium: copper (twisted pair), fiber or radio (Wi-Fi).
• Protokoll: z. B. TCP, IP, HTTP, DNS.Protocol: e.g. TCP, IP, HTTP, DNS.
• Adresse: Jeder Knoten hat eine physische MAC-Adresse (fest in der Netzwerkkarte) und meist eine logische IP-Adresse (z. B. 192.168.1.10 oder 2001:db8::1).Address: every node has a physical MAC address (burned into the network card) and usually a logical IP address (e.g. 192.168.1.10 or 2001:db8::1).
• Paket/Frame: Daten werden in kleine Einheiten zerlegt. Auf Schicht 3 heißen sie Pakete, auf Schicht 2 Frames; jede Einheit trägt Absender, Ziel und Nutzlast.Packet/frame: data is split into small units. At layer 3 they are called packets, at layer 2 frames; each unit carries source, destination and payload.

ÜbertragungsmedienTransmission media

Das Medium entscheidet über Reichweite, Geschwindigkeit, Kosten und Störanfälligkeit. Kupfer ist günstig und flexibel, Glasfaser überbrückt große Distanzen ohne elektrische Störungen, Funk bietet Mobilität, teilt sich aber das Medium mit allen Nachbarn.The medium determines reach, speed, cost and susceptibility to interference. Copper is cheap and flexible, fiber bridges long distances free of electrical interference, and radio offers mobility but shares the medium with all neighbours.

NetzwerkgeräteNetwork devices

Zwischen den Knoten vermitteln spezialisierte Geräte. Sie arbeiten auf unterschiedlichen Schichten des Schichtenmodells: Je höher die Schicht, desto „intelligenter" die Entscheidung über den Weg der Daten.Specialised devices relay traffic between nodes. They operate at different layers of the layered model: the higher the layer, the more "intelligent" the decision about where the data goes.

Netzgrößen: von PAN bis GANNetwork scopes: from PAN to GAN

Netze werden nach ihrer räumlichen Ausdehnung unterschieden. Diese Einteilung beeinflusst Technik, Betreiber und typische Bandbreiten.Networks are classified by geographic reach. This classification affects the technology, the operator and typical bandwidths.

Client-Server vs. Peer-to-PeerClient-server vs. peer-to-peer

Im Client-Server-Modell stellt ein zentraler Server Dienste bereit, die viele Clients anfragen; das ist zentral verwaltbar und skaliert gut. Bei Peer-to-Peer sind alle Knoten gleichberechtigt und übernehmen abwechselnd beide Rollen; das spart einen zentralen Server, erschwert aber Verwaltung und Sicherheit.In the client-server model a central server provides services that many clients request; it is centrally manageable and scales well. In peer-to-peer all nodes are equal and take on both roles in turn; this avoids a central server but complicates management and security.

• Client-Server: Webserver, Mailserver, Datenbank, Dateifreigabe — klare Verantwortung, einfaches Backup, aber der Server ist ein möglicher Engpass und Ausfallpunkt.Client-server: web server, mail server, database, file share — clear responsibility and easy backup, but the server is a potential bottleneck and point of failure.
• Peer-to-Peer: Dateitausch, Blockchain, manche Video-Calls — robust und ohne zentrale Kosten, dafür schwieriger zu sichern und zu überwachen.Peer-to-peer: file sharing, blockchain, some video calls — robust and without central cost, but harder to secure and monitor.

TopologienTopologies

Die Topologie beschreibt, wie Knoten physisch oder logisch verbunden sind. Sie bestimmt Ausfallsicherheit, Verkabelungsaufwand und Erweiterbarkeit. In der Praxis dominiert heute die Stern-Topologie rund um einen Switch; größere Netze kombinieren mehrere Sterne zu einem Baum.The topology describes how nodes are physically or logically connected. It determines resilience, cabling effort and extensibility. In practice the star topology around a switch dominates today; larger networks combine several stars into a tree.

Protokolle & StandardsProtocols & standards

Damit Geräte unterschiedlicher Hersteller zusammenarbeiten, müssen sie dieselbe „Sprache" sprechen. Diese Sprache wird in offenen Standards festgeschrieben. Standardisierung sichert Interoperabilität, fördert Wettbewerb und macht Netze über Jahrzehnte erweiterbar.For devices from different vendors to cooperate, they must speak the same "language". This language is fixed in open standards. Standardisation ensures interoperability, fosters competition and keeps networks extensible for decades.

• IEEE normt die Hardware-nahen Schichten, z. B. Ethernet (802.3) und WLAN (802.11).IEEE standardises the lower, hardware-near layers, e.g. Ethernet (802.3) and Wi-Fi (802.11).
• IETF veröffentlicht die Internet-Protokolle als RFC-Dokumente, etwa IP, TCP, HTTP und DNS.IETF publishes the Internet protocols as RFC documents, such as IP, TCP, HTTP and DNS.
• ISO lieferte mit dem OSI-Modell den begrifflichen Rahmen mit seinen sieben Schichten.ISO provided the conceptual framework with the OSI model and its seven layers.

Kennzahlen: Bandbreite, Durchsatz, Latenz, JitterMetrics: bandwidth, throughput, latency, jitter

Bandbreite ist die theoretische Kapazität einer Verbindung (z. B. 1 Gbit/s). Durchsatz ist die tatsächlich erreichte Nutzdatenrate, stets niedriger durch Overhead und Engpässe. Latenz ist die Verzögerung, bis ein Paket ankommt (Round-Trip oft in Millisekunden, per ping messbar). Jitter ist die Schwankung dieser Latenz — entscheidend für Telefonie und Videokonferenzen.Bandwidth is the theoretical capacity of a link (e.g. 1 Gbit/s). Throughput is the actually achieved payload rate, always lower due to overhead and bottlenecks. Latency is the delay until a packet arrives (round-trip often in milliseconds, measurable via ping). Jitter is the variation of that latency — critical for telephony and video calls.

Das Internet: Netz der NetzeThe Internet: a network of networks

Das Internet ist kein einzelnes großes Netz, sondern der weltweite Verbund unzähliger eigenständiger Netze. Ein Internet-Provider (ISP) verbindet Haushalte und Firmen mit diesem Verbund. Die ISPs sind untereinander über leistungsstarke Backbone-Leitungen und an Internet-Knoten (z. B. DE-CIX in Frankfurt) gekoppelt, wo sie Datenverkehr austauschen (Peering).The Internet is not one large network but the worldwide federation of countless independent networks. An Internet service provider (ISP) connects homes and businesses to this federation. ISPs are interlinked over high-capacity backbone lines and at Internet exchanges (e.g. DE-CIX in Frankfurt), where they swap traffic (peering).

Jedes dieser Netze ist ein autonomes System (AS) mit eigener Nummer. Über das Protokoll BGP teilen die Systeme einander mit, welche Adressbereiche sie erreichen — so findet ein Paket aus deinem Heimnetz seinen Weg bis zum Server am anderen Ende der Welt.Each of these networks is an autonomous system (AS) with its own number. Through the BGP protocol the systems tell one another which address ranges they can reach — that is how a packet from your home network finds its way to a server on the other side of the world.

Netzwerk-TopologienNetwork topologies

Die Topologie beschreibt, wie Geräte in einem Netzwerk miteinander verbunden sind. Sie bestimmt maßgeblich, wie robust, wie schnell und wie gut skalierbar ein Netz ist. Dieser Artikel erklärt die klassischen Grundformen, den Unterschied zwischen physischer und logischer Verbindung und warum der Stern heute die dominierende Bauform im LAN ist.The topology describes how devices in a network are connected to one another. It largely determines how robust, how fast and how scalable a network is. This article explains the classic basic forms, the difference between physical and logical connections, and why the star is the dominant design in today's LAN.

Physische vs. logische TopologiePhysical vs. logical topology

Bei Topologien muss man zwei Ebenen sauber trennen. Die physische Topologie beschreibt die tatsächliche Verkabelung: welches Kabel von welchem Gerät zu welchem Port läuft. Die logische Topologie beschreibt dagegen, wie die Datenpakete tatsächlich fließen und wie die Geräte aus Sicht des Übertragungsverfahrens kommunizieren.With topologies you must cleanly separate two layers. The physical topology describes the actual cabling: which cable runs from which device to which port. The logical topology, by contrast, describes how the data packets actually flow and how the devices communicate from the perspective of the transmission method.

Beide Ebenen können sich unterscheiden. Ein klassisches Beispiel ist ein Hub (oder ein einfacher Switch im Sondermodus): Physisch sind alle Geräte sternförmig an das zentrale Gerät angeschlossen, logisch verhält sich das geteilte Medium aber wie ein Bus, auf dem nur einer gleichzeitig senden darf. Dieser Bezug wird weiter unten noch genauer erläutert.Both layers can differ. A classic example is a hub (or a simple switch in a special mode): physically all devices are connected in a star to the central device, but logically the shared medium behaves like a bus on which only one device may transmit at a time. This relationship is explained in more detail below.

Stern (Star)Star

Beim Stern ist jedes Endgerät über eine eigene, dedizierte Leitung mit einem zentralen Knoten verbunden, typischerweise einem Switch. Es gibt keine direkten Kabel zwischen den Endgeräten; jegliche Kommunikation läuft über die Mitte.In a star, each end device is connected to a central node by its own dedicated link, typically a switch. There are no direct cables between the end devices; all communication passes through the centre.

• Vorteil: Der Ausfall eines Endgeräts oder eines einzelnen Kabels betrifft nur dieses eine Gerät, nicht das restliche Netz.Advantage: The failure of one end device or a single cable affects only that device, not the rest of the network.
• Vorteil: Einfache Fehlersuche und unkomplizierte Erweiterung durch zusätzliche Ports.Advantage: Easy troubleshooting and straightforward expansion by adding more ports.
• Nachteil: Der zentrale Knoten ist ein Single Point of Failure. Fällt der Switch aus, ist das gesamte Segment getrennt.Disadvantage: The central node is a single point of failure. If the switch fails, the entire segment is disconnected.

BusBus

Beim Bus teilen sich alle Geräte ein einziges, durchgehendes Übertragungsmedium, oft ein Koaxialkabel mit Abschlusswiderständen an beiden Enden. Sendet ein Gerät, empfangen alle anderen das Signal; nur einer darf gleichzeitig senden, sonst kommt es zu Kollisionen.In a bus, all devices share a single, continuous transmission medium, often a coaxial cable with terminating resistors at both ends. When one device transmits, all others receive the signal; only one may transmit at a time, otherwise collisions occur.

Der Bus war in frühen Ethernet-Varianten (10BASE2/10BASE5) verbreitet, gilt heute aber als veraltet. Ein einziger Kabelbruch oder ein fehlender Abschlusswiderstand kann das gesamte Netz lahmlegen, und die geteilte Bandbreite begrenzt die Skalierung stark.The bus was common in early Ethernet variants (10BASE2/10BASE5) but is now considered obsolete. A single cable break or a missing terminator can bring down the whole network, and the shared bandwidth severely limits scaling.

RingRing

Im Ring ist jedes Gerät mit genau zwei Nachbarn verbunden, sodass eine geschlossene Schleife entsteht. Daten wandern von Knoten zu Knoten, oft in nur eine Richtung, bis sie das Ziel erreichen. Bekannte Vertreter sind Token Ring und FDDI.In a ring, each device is connected to exactly two neighbours, forming a closed loop. Data travels from node to node, often in only one direction, until it reaches its destination. Well-known examples are Token Ring and FDDI.

Ein einfacher Ring ist anfällig: Ein unterbrochener Knoten oder ein defektes Kabel kann den gesamten Ring stören. Deshalb nutzen robuste Varianten einen Doppelring, der sich bei einem Defekt zu einem funktionsfähigen Pfad zusammenfaltet. In modernen Glasfaser-Backbones (z. B. mit Protokollen wie ERPS) wird das Ringprinzip wegen seiner schnellen Umschaltung weiterhin genutzt.A simple ring is fragile: a failed node or a broken cable can disrupt the entire ring. Robust variants therefore use a dual ring that folds into a working path when a fault occurs. In modern fibre backbones (e.g. with protocols such as ERPS) the ring principle is still used because of its fast failover.

Vermaschung (Mesh)Mesh

Bei der Vermaschung sind Knoten über mehrere Pfade miteinander verbunden, sodass es redundante Wege gibt. Man unterscheidet zwei Ausprägungen:In a mesh, nodes are connected via multiple paths so that redundant routes exist. Two forms are distinguished:

• Vollvermaschung (Full Mesh): Jeder Knoten ist mit jedem anderen direkt verbunden. Bei n Knoten entstehen n·(n-1)/2 Verbindungen. Maximale Redundanz, aber sehr hoher Verkabelungs- und Portaufwand.Full mesh: Every node is directly connected to every other node. With n nodes this yields n·(n-1)/2 links. Maximum redundancy, but very high cabling and port effort.
• Teilvermaschung (Partial Mesh): Nur wichtige Knoten werden mehrfach verbunden. Guter Kompromiss aus Ausfallsicherheit und Kosten, typisch für WAN-Kerne und Provider-Netze.Partial mesh: Only important nodes are connected multiple times. A good compromise between resilience and cost, typical for WAN cores and provider networks.

Vermaschte Strukturen sind die Grundlage des Internets im Großen: Router finden bei einem Ausfall dank dynamischer Routing-Protokolle automatisch alternative Pfade.Mesh structures are the foundation of the internet at large scale: thanks to dynamic routing protocols, routers automatically find alternative paths when a failure occurs.

Baum / Hierarchisch (Tree)Tree / Hierarchical

Die Baum-Topologie ist eine Hierarchie aus mehreren miteinander verbundenen Sternen. Ein zentraler Wurzelknoten verzweigt zu untergeordneten Knoten, die wiederum eigene Geräte tragen. Diese Struktur passt gut zu Gebäuden und Campus-Netzen: Ein Kern-Switch im Rechenzentrum verbindet Verteiler-Switches je Etage, an denen die Zugangs-Switches der Räume hängen.The tree topology is a hierarchy of several interconnected stars. A central root node branches to subordinate nodes, which in turn carry their own devices. This structure fits buildings and campus networks well: a core switch in the data centre connects distribution switches per floor, to which the access switches of the rooms are attached.

Das klassische Drei-Ebenen-Modell aus Access, Distribution und Core ist eine direkte Anwendung dieser hierarchischen Topologie und erleichtert eine geordnete, planbare Skalierung.The classic three-tier model of access, distribution and core is a direct application of this hierarchical topology and supports orderly, plannable scaling.

Punkt-zu-Punkt (Point-to-Point)Point-to-point

Die einfachste Topologie überhaupt: genau zwei Knoten, die direkt miteinander verbunden sind. Die gesamte Bandbreite der Leitung steht exklusiv diesen beiden Endpunkten zur Verfügung.The simplest topology of all: exactly two nodes directly connected to each other. The full bandwidth of the link is available exclusively to these two endpoints.

Punkt-zu-Punkt-Verbindungen findet man als Uplinks zwischen Switches, als Richtfunkstrecken, als WAN-Leitungen zwischen Standorten oder als VPN-Tunnel. Sie sind außerdem der Baustein, aus dem größere Topologien wie Stern und Mesh zusammengesetzt sind.Point-to-point links appear as uplinks between switches, as wireless directional links, as WAN lines between sites, or as VPN tunnels. They are also the building block from which larger topologies such as star and mesh are composed.

HybridHybrid

Reale Netze sind fast nie eine einzige reine Form, sondern eine Kombination mehrerer Topologien, also hybrid. Typisch ist ein vermaschter oder ringförmiger Backbone (Kern) mit sternförmigen Zugangsbereichen an den Rändern. So lässt sich die Redundanz dort einsetzen, wo sie geschäftskritisch ist, während der einfache und günstige Stern den Massenanschluss der Endgeräte übernimmt.Real networks are almost never a single pure form, but a combination of several topologies, i.e. hybrid. A meshed or ring-shaped backbone (core) with star-shaped access areas at the edges is typical. This places redundancy where it is business-critical, while the simple and inexpensive star handles the mass connection of end devices.

Vergleich der TopologienComparison of topologies

Warum der Stern heute dominiertWhy the star dominates today

Im modernen LAN ist der Stern die Standardbauform, und das hat einen klaren Grund: den Switch. Anders als der alte Hub leitet ein Switch jeden Frame gezielt nur an den Port des Ziels weiter. Dadurch entsteht zwischen je zwei kommunizierenden Geräten eine eigene Kollisionsdomäne, und alle Ports können gleichzeitig in voller Geschwindigkeit und im Vollduplex-Betrieb arbeiten.In the modern LAN, the star is the standard design, and there is a clear reason: the switch. Unlike the old hub, a switch forwards each frame specifically only to the destination port. This creates a separate collision domain between any two communicating devices, and all ports can operate simultaneously at full speed in full-duplex mode.

Damit verschwindet der größte Nachteil früherer geteilter Medien. Hinzu kommen die strukturellen Vorteile des Sterns: einfache Verkabelung mit strukturierter Gebäudeverkabelung (Patchfeld, Twisted-Pair zu jeder Dose), klare Fehlersuche und problemlose Erweiterung. Der verbleibende Nachteil, der zentrale Switch als Single Point of Failure, wird in größeren Umgebungen durch redundante Uplinks und gestapelte oder doppelt ausgelegte Switches entschärft.This removes the biggest drawback of earlier shared media. Added to this are the structural advantages of the star: simple cabling with structured building wiring (patch panel, twisted pair to every outlet), clear troubleshooting and easy expansion. The remaining drawback, the central switch as a single point of failure, is mitigated in larger environments by redundant uplinks and stacked or duplicated switches.

Ein Switch: physisch Stern, logisch Bus?One switch: physically a star, logically a bus?

Dieser Punkt sorgt oft für Verwirrung und zeigt schön den Unterschied zwischen den beiden Ebenen. Physisch bildet ein Switch immer einen Stern: Jedes Kabel führt sternförmig von einem Endgerät zum Switch.This point often causes confusion and nicely illustrates the difference between the two layers. Physically a switch always forms a star: each cable runs in a star pattern from an end device to the switch.

Logisch hängt das Verhalten vom Gerät ab. Ein Hub wiederholt jedes Signal an alle Ports, sodass sich alle ein gemeinsames Medium teilen, also ein logischer Bus mit einer einzigen Kollisionsdomäne. Auch ein Switch verhält sich für Broadcasts innerhalb eines VLANs wie ein logischer Bus: Ein Broadcast-Frame erreicht alle Ports der Broadcast-Domäne. Für gezielten Unicast-Verkehr dagegen schaltet der Switch dedizierte Pfade und ist eben kein gemeinsames Medium mehr. Die Aussage „physisch Stern, logisch Bus“ trifft also vor allem auf Hubs und auf das Broadcast-Verhalten zu, nicht auf den normalen Unicast-Betrieb eines Switches.Logically, the behaviour depends on the device. A hub repeats every signal to all ports, so all devices share a common medium, i.e. a logical bus with a single collision domain. A switch, too, behaves like a logical bus for broadcasts within a VLAN: a broadcast frame reaches all ports of the broadcast domain. For targeted unicast traffic, however, the switch sets up dedicated paths and is no longer a shared medium. The statement "physically a star, logically a bus" therefore applies mainly to hubs and to broadcast behaviour, not to the normal unicast operation of a switch.

Backbone, Collapsed Core und Spine-LeafBackbone, collapsed core and spine-leaf

Der Backbone ist das Hochgeschwindigkeits-Rückgrat eines Netzes, das die einzelnen Bereiche miteinander verbindet. In der klassischen Drei-Ebenen-Architektur bilden die Core-Geräte diesen Backbone und tragen den gebündelten Verkehr zwischen den Distribution-Switches.The backbone is the high-speed spine of a network that connects the individual areas. In the classic three-tier architecture, the core devices form this backbone and carry the aggregated traffic between the distribution switches.

In kleineren Umgebungen werden Distribution- und Core-Ebene oft zu einer einzigen Schicht zusammengefasst. Diese Bauform heißt Collapsed Core und spart Geräte und Komplexität, solange die Größe des Netzes es zulässt.In smaller environments, the distribution and core layers are often merged into a single layer. This design is called collapsed core and saves devices and complexity as long as the size of the network allows it.

Moderne Rechenzentren setzen dagegen häufig auf die Spine-Leaf-Architektur, eine zweistufige, teilvermaschte Struktur. Jeder Leaf-Switch (Zugang zu den Servern) ist mit jedem Spine-Switch (Verteilung) verbunden, aber Leafs untereinander nicht und Spines untereinander nicht. Dadurch ist jeder Server stets nur zwei Hops von jedem anderen entfernt, die Latenz ist vorhersagbar, und die Bandbreite wächst einfach durch Hinzufügen weiterer Spines. Diese Topologie skaliert besonders gut für den Ost-West-Verkehr zwischen Servern, der in virtualisierten und Cloud-Umgebungen dominiert.Modern data centres, by contrast, often use the spine-leaf architecture, a two-tier, partially meshed structure. Each leaf switch (server access) connects to every spine switch (distribution), but leaves are not connected to each other and neither are spines. As a result, every server is always only two hops from every other, latency is predictable, and bandwidth grows simply by adding more spines. This topology scales particularly well for the east-west traffic between servers that dominates in virtualised and cloud environments.

Bezug zu IP-AdressenRelation to IP addressing

Topologie und Adressierung hängen zusammen. Eine Broadcast-Domäne entspricht in der Regel einem IPv4-Subnetz; bei IPv6 übernehmen Link-Local-Adressen und Neighbor Discovery die Kommunikation innerhalb des Links. Eine saubere hierarchische Topologie erleichtert die geordnete Vergabe von Subnetzen je Etage, Gebäude oder Bereich und damit eine effiziente Routensummierung im Kern.Topology and addressing are connected. A broadcast domain usually corresponds to one IPv4 subnet; with IPv6, link-local addresses and Neighbor Discovery handle communication within the link. A clean hierarchical topology makes the orderly allocation of subnets per floor, building or area easier, and thus efficient route summarisation in the core.

ZusammenfassungSummary

• Trenne stets physische (Verkabelung) und logische Topologie (Datenfluss).Always separate the physical (cabling) and the logical topology (data flow).
• Der Stern dominiert im LAN, weil der Switch dedizierte, kollisionsfreie Pfade bietet.The star dominates in the LAN because the switch provides dedicated, collision-free paths.
• Bus und einfacher Ring gelten als veraltet oder fragil; Vermaschung bringt Redundanz, aber Kosten.Bus and simple ring are considered obsolete or fragile; mesh brings redundancy but at a cost.
• Reale Netze sind hybrid: sternförmiger Zugang, redundanter Kern, hierarchischer Aufbau (Access/Distribution/Core oder Spine-Leaf).Real networks are hybrid: star-shaped access, redundant core, hierarchical design (access/distribution/core or spine-leaf).

Das OSI-ModellThe OSI model

Das OSI-Referenzmodell zerlegt Netzwerkkommunikation in sieben klar abgegrenzte Schichten. Es ist das gemeinsame Vokabular, mit dem Techniker Protokolle, Geräte und Fehler einordnen — von der rohen elektrischen Spannung auf dem Kabel bis zur fertigen Webseite im Browser.The OSI reference model splits network communication into seven clearly separated layers. It is the shared vocabulary engineers use to classify protocols, devices and faults — from raw electrical voltage on the wire up to the finished web page in the browser.

Herkunft und EinordnungOrigin and context

OSI steht für Open Systems Interconnection. Das Modell wurde Ende der 1970er Jahre entworfen und 1984 von der ISO als Standard ISO/IEC 7498-1 veröffentlicht. Ziel war ein herstellerunabhängiges Bezugssystem, damit Geräte unterschiedlicher Hersteller zusammenarbeiten können. Die ursprünglich geplante OSI-Protokollfamilie hat sich nie durchgesetzt — geblieben ist das Schichtenmodell als Denk- und Lehrwerkzeug, das bis heute jede Netzwerkausbildung prägt.OSI stands for Open Systems Interconnection. The model was designed in the late 1970s and published by the ISO in 1984 as the standard ISO/IEC 7498-1. The goal was a vendor-neutral frame of reference so that devices from different manufacturers could interoperate. The OSI protocol suite originally planned alongside it never caught on — what remained is the layered model as a tool for thinking and teaching that still shapes every networking course today.

Warum ein Schichtenmodell?Why a layered model?

Ein Schichtenmodell teilt das komplexe Problem „Datenübertragung" in beherrschbare Teilaufgaben. Jede Schicht erbringt einen klar definierten Dienst für die Schicht darüber und nutzt den Dienst der Schicht darunter. So lassen sich Technologien austauschen, ohne den Rest zu ändern: Ob WLAN oder Kupfer auf Schicht 1 läuft, ist für HTTP auf Schicht 7 unsichtbar.A layered model breaks the complex problem of "data transfer" into manageable sub-tasks. Each layer provides a well-defined service to the layer above and uses the service of the layer below. This lets you swap technologies without touching the rest: whether Wi-Fi or copper runs at layer 1 is invisible to HTTP at layer 7.

• Abstraktion: jede Schicht kapselt ihre Details; die Nachbarschicht muss nur die Schnittstelle kennen.Abstraction: each layer hides its details; the neighboring layer only needs to know the interface.
• Interoperabilität: Hersteller können standardisierte Schnittstellen umsetzen und beliebig kombinieren.Interoperability: vendors can implement standardized interfaces and combine them freely.
• Fehlersuche: Probleme lassen sich einer Schicht zuordnen (Kabel = L1, IP = L3 …) und gezielt eingrenzen.Troubleshooting: problems can be pinned to a layer (cable = L1, IP = L3 …) and narrowed down systematically.
• Weiterentwicklung: eine Schicht kann sich verbessern (z. B. neue WLAN-Standards), ohne die anderen zu brechen.Evolution: one layer can improve (e.g. new Wi-Fi standards) without breaking the others.

Die sieben Schichten im ÜberblickThe seven layers at a glance

Die Schichten 5 bis 7 werden oft als anwendungsnahe (host-seitige) Schichten zusammengefasst, die Schichten 1 bis 4 als transportnahe (übertragungsorientierte) Schichten. Die Übertragungseinheit einer Schicht heißt PDU (Protocol Data Unit).Layers 5 to 7 are often grouped as the application-oriented (host) layers, layers 1 to 4 as the transport-oriented (media) layers. The transmission unit of a layer is called a PDU (protocol data unit).

Die sieben Schichten im DetailThe seven layers in detail

Im Folgenden wird jede Schicht von oben (anwendungsnah) nach unten (hardwarenah) beschrieben: Aufgabe, typische Protokolle und Technik, die zugehörige PDU sowie ein konkretes Beispiel aus der Praxis.Below, each layer is described from top (close to the application) to bottom (close to the hardware): its function, typical protocols and technology, the corresponding PDU and a concrete real-world example.

Tipp: Schicht antippen für Details.Tip: tap a layer for details.

Bezug zur KapselungRelation to encapsulation

Beim Senden wandern die Nutzdaten von oben nach unten durch den Stapel. Jede Schicht ergänzt einen eigenen Header (und Schicht 2 zusätzlich einen Trailer) — das ist die Kapselung. Beim Empfänger läuft es umgekehrt: Jede Schicht entfernt ihren Header und reicht den Inhalt nach oben weiter (Entkapselung). Jede Schicht „spricht" dabei nur mit ihrer Gegenschicht (Peer-Layer).When sending, the payload travels top-down through the stack. Each layer adds its own header (and layer 2 also a trailer) — this is encapsulation. At the receiver the reverse happens: each layer strips its header and passes the content upward (decapsulation). Each layer only "talks" to its counterpart layer (peer layer).

EselsbrückeMnemonic

Von Schicht 7 nach 1 hilft im Deutschen: „Alle deutschen Studenten trinken verschiedene Biere" (Anwendung, Darstellung, Sitzung, Transport, Vermittlung, Sicherung, Bitübertragung).From layer 1 to 7 a common English aid is: "Please Do Not Throw Sausage Pizza Away" (Physical, Data link, Network, Transport, Session, Presentation, Application).

Typische Geräte je SchichtTypical devices per layer

Geräte werden danach eingeordnet, bis zu welcher Schicht sie die durchlaufenden Daten auswerten. Je höher die Schicht, desto „intelligenter" die Entscheidung — und desto höher der Verarbeitungsaufwand.Devices are classified by the highest layer up to which they inspect the passing data. The higher the layer, the "smarter" the decision — and the higher the processing effort.

OSI in der PraxisOSI in practice

In echten Netzen läuft nicht der OSI-Protokollstapel, sondern das TCP/IP-Modell mit vier Schichten. Es fasst mehrere OSI-Schichten zusammen: Die OSI-Schichten 5–7 entsprechen grob der TCP/IP-Anwendungsschicht, und die OSI-Schichten 1–2 der TCP/IP-Netzzugangsschicht. TCP/IP war früh in funktionierende Software gegossen (Berkeley Sockets, das Internet) und hat OSI praktisch verdrängt.Real networks do not run the OSI protocol stack but the TCP/IP model with four layers. It merges several OSI layers: OSI layers 5–7 roughly map to the TCP/IP application layer, and OSI layers 1–2 to the TCP/IP link layer. TCP/IP was cast into working software early on (Berkeley sockets, the Internet) and effectively displaced OSI.

Trotzdem ist das OSI-Modell als gemeinsames Vokabular unverzichtbar. Begriffe aus dem Alltag verweisen direkt auf OSI-Schichten:Even so, the OSI model is indispensable as a shared vocabulary. Everyday terms point directly to OSI layers:

• „Layer-3-Problem": es liegt an IP/Routing — etwa eine falsche Route oder ein fehlendes Default-Gateway."Layer 3 problem": it is about IP/routing — e.g. a wrong route or a missing default gateway.
• „Layer-7-Firewall": filtert nach Anwendungsinhalt (URLs, HTTP-Header), nicht nur nach Ports."Layer 7 firewall": filters by application content (URLs, HTTP headers), not just ports.
• „Layer-2-Domain": der Bereich, in dem Geräte per MAC-Adresse direkt erreichbar sind (Broadcast-Domäne)."Layer 2 domain": the area where devices are directly reachable by MAC address (broadcast domain).
• „Layer-8-Problem": scherzhaft für den Fehler vor dem Bildschirm — also den Benutzer."Layer 8 problem": a joke for the error in front of the screen — i.e. the user.

Fehlersuche entlang der SchichtenTroubleshooting along the layers

Eine bewährte Strategie ist, von unten nach oben vorzugehen: Erst die physikalische Verbindung prüfen, dann schrittweise nach oben. So lässt sich ein Problem schnell der richtigen Schicht zuordnen.A proven strategy is to work bottom-up: first check the physical connection, then move upward step by step. This quickly pins a problem to the right layer.

• L1: Steckt das Kabel, leuchtet die Link-LED? Test mit Kabeltester oder anderem Port.L1: is the cable plugged in, is the link LED on? Test with a cable tester or another port.
• L2: Wird eine MAC-Adresse gelernt, stimmt das VLAN? Prüfung in der Switch-Tabelle.L2: is a MAC address learned, is the VLAN correct? Check in the switch table.
• L3: Antwortet das Gateway auf ping, ist die Route gesetzt?L3: does the gateway answer ping, is the route set?
• L4: Ist der Zielport offen (Test mit telnet/nc), blockiert eine Firewall?L4: is the destination port open (test with telnet/nc), is a firewall blocking it?
• L7: Liefert der Dienst korrekte Antworten, stimmt das Zertifikat, gibt es DNS-Fehler?L7: does the service return correct answers, is the certificate valid, are there DNS errors?

Netzwerkgeräte und ihre OSI-EinordnungNetwork devices and their OSI classification

Jedes Netzwerkgerät arbeitet auf einer bestimmten Schicht des OSI-Modells und erfüllt dort eine klar umrissene Aufgabe. Wer weiß, ob ein Gerät auf Schicht 1, 2 oder 3 arbeitet, versteht sofort, welche Adressen es auswertet, ob es Kollisions- oder Broadcast-Domänen trennt und wo es sinnvoll im Netz platziert wird.Every network device operates at a specific layer of the OSI model and performs a clearly defined task there. Knowing whether a device works at layer 1, 2 or 3 immediately tells you which addresses it inspects, whether it separates collision or broadcast domains, and where it belongs in the network.

Warum die OSI-Schicht entscheidend istWhy the OSI layer matters

Die OSI-Schicht eines Geräts bestimmt, welche Informationen es überhaupt sehen und verändern kann. Ein Gerät auf der Bitübertragungsschicht (Schicht 1) kennt nur elektrische oder optische Signale. Ein Gerät auf der Sicherungsschicht (Schicht 2) wertet MAC-Adressen aus. Ein Gerät auf der Vermittlungsschicht (Schicht 3) trifft Entscheidungen anhand von IP-Adressen.A device's OSI layer determines what information it can see and change at all. A device on the physical layer (layer 1) only knows electrical or optical signals. A device on the data link layer (layer 2) inspects MAC addresses. A device on the network layer (layer 3) makes decisions based on IP addresses.

Daraus folgt eine Faustregel: Je höher die Schicht, desto mehr Kontext kennt das Gerät und desto stärker kann es ein Netz strukturieren. Ein IPv4- oder IPv6-fähiger Router trennt deshalb mehr als ein einfacher Hub.From this comes a rule of thumb: the higher the layer, the more context a device knows and the more it can structure a network. An IPv4- or IPv6-capable router therefore separates more than a simple hub.

Schicht 1: Repeater und HubLayer 1: repeater and hub

Ein Repeater verstärkt und regeneriert ein Signal, damit es größere Strecken überbrücken kann. Er kennt weder MAC- noch IP-Adressen und leitet einfach jedes Bit weiter, das er empfängt.A repeater amplifies and regenerates a signal so it can bridge longer distances. It knows neither MAC nor IP addresses and simply forwards every bit it receives.

Ein Hub ist im Grunde ein Multiport-Repeater. Trifft ein Datenpaket an einem Port ein, sendet der Hub es an alle anderen Ports zugleich. Dadurch teilen sich alle angeschlossenen Geräte dieselbe Kollisionsdomäne und dieselbe Bandbreite. Hubs gelten heute als veraltet und sind praktisch vollständig durch Switches ersetzt.A hub is essentially a multiport repeater. When a frame arrives at one port, the hub sends it to all other ports at once. As a result, all connected devices share the same collision domain and the same bandwidth. Hubs are considered obsolete today and have been almost entirely replaced by switches.

Schicht 2: Bridge und SwitchLayer 2: bridge and switch

Eine Bridge verbindet zwei Netzsegmente und entscheidet anhand der Ziel-MAC-Adresse, ob ein Frame in das andere Segment weitergeleitet werden muss. Dadurch hält sie lokalen Verkehr zurück und trennt Kollisionsdomänen.A bridge connects two network segments and decides, based on the destination MAC address, whether a frame must be forwarded to the other segment. This keeps local traffic contained and separates collision domains.

Ein Switch ist eine Bridge mit vielen Ports. Er lernt, hinter welchem Port welche MAC-Adresse erreichbar ist, und speichert diese Zuordnung in einer MAC-Adresstabelle. Frames werden dann gezielt nur an den richtigen Port gesendet (Unicast), statt an alle. Jeder Switch-Port bildet eine eigene Kollisionsdomäne, weshalb moderne Switches im Vollduplex-Betrieb arbeiten und Kollisionen praktisch nicht mehr auftreten. Mehr dazu im Artikel zu Switchingswitching.A switch is a bridge with many ports. It learns which MAC address is reachable behind which port and stores this mapping in a MAC address table. Frames are then sent only to the correct port (unicast) rather than to all ports. Each switch port forms its own collision domain, which is why modern switches operate in full duplex and collisions practically no longer occur. See the article on Switchingswitching for more.

Ein einfacher Switch trennt Kollisionsdomänen, aber nicht Broadcast-Domänen: Ein Broadcast wird an alle Ports weitergegeben. Erst die Aufteilung in VLANs erzeugt mehrere getrennte Broadcast-Domänen auf demselben physischen Switch.A simple switch separates collision domains but not broadcast domains: a broadcast is forwarded to every port. Only splitting into VLANs creates several separate broadcast domains on the same physical switch.

Schicht 3: Router und Layer-3-SwitchLayer 3: router and layer 3 switch

Ein Router verbindet unterschiedliche IP-Netze und leitet Pakete anhand der Ziel-IP-Adresse weiter. Er besitzt eine Routing-Tabelle und entscheidet pro Paket über den besten Weg zum Ziel. Da ein Router Broadcasts standardmäßig nicht weiterleitet, trennt jede Router-Schnittstelle eine eigene Broadcast-Domäne. Details zum Weiterleiten von Paketen stehen im Artikel zu Routingrouting.A router connects different IP networks and forwards packets based on the destination IP address. It has a routing table and decides per packet on the best path to the destination. Because a router does not forward broadcasts by default, each router interface separates its own broadcast domain. Details on forwarding packets are in the article on Routingrouting.

Ein Layer-3-Switch kombiniert die schnelle Hardware-Vermittlung eines Switches mit Routing-Funktionen. Er leitet Frames innerhalb eines VLANs auf Schicht 2 weiter und routet zwischen VLANs auf Schicht 3 — alles im selben Gerät und mit hoher Geschwindigkeit. In Campus-Netzen ersetzt er häufig einen separaten Router für das Inter-VLAN-Routing.A layer 3 switch combines the fast hardware forwarding of a switch with routing functions. It forwards frames within a VLAN at layer 2 and routes between VLANs at layer 3 — all in the same device and at high speed. In campus networks it often replaces a separate router for inter-VLAN routing.

Weitere wichtige GeräteFurther important devices

Access Point (WLAN)Access point (Wi-Fi)

Ein Access Point (AP) verbindet drahtlose Clients mit dem kabelgebundenen Netz. Er arbeitet im Kern auf Schicht 2 und wirkt wie eine Brücke zwischen Funk- und Kabelmedium. Alle Clients eines APs teilen sich das Funkmedium, weshalb WLAN von Natur aus ein gemeinsam genutztes Medium ist. Mehr im Artikel zu WLAN.An access point (AP) connects wireless clients to the wired network. At its core it works at layer 2 and acts like a bridge between the radio and the cabled medium. All clients of an AP share the radio medium, which is why Wi-Fi is inherently a shared medium. More in the article on Wi-Fi.

ModemModem

Ein Modem (Modulator-Demodulator) wandelt digitale Daten in ein für die Übertragungsstrecke geeignetes Signal um und zurück — etwa für DSL, Kabel (DOCSIS) oder Glasfaser. Es arbeitet vorrangig auf Schicht 1. Viele Heimgeräte vereinen Modem, Router, Switch und Access Point in einem Gehäuse, was die saubere OSI-Zuordnung verwischt.A modem (modulator-demodulator) converts digital data into a signal suitable for the transmission line and back — for example for DSL, cable (DOCSIS) or fiber. It works primarily at layer 1. Many home devices combine modem, router, switch and access point in one enclosure, which blurs the clean OSI mapping.

FirewallFirewall

Eine Firewall filtert Datenverkehr nach Regeln und schützt Netze voneinander. Eine paketfilternde Firewall arbeitet auf Schicht 3 und 4 (IP-Adressen und Ports). Eine moderne Next-Generation-Firewall reicht bis in die Anwendungsschicht (Schicht 7) und erkennt Anwendungen und Inhalte. Mehr im Artikel zur Firewall.A firewall filters traffic according to rules and protects networks from one another. A packet-filtering firewall works at layers 3 and 4 (IP addresses and ports). A modern next-generation firewall reaches up to the application layer (layer 7) and recognizes applications and content. More in the article on the firewall.

GatewayGateway

Der Begriff Gateway wird in zwei Bedeutungen verwendet. Im engeren Sinn ist ein Gateway ein Gerät, das zwischen unterschiedlichen Protokollwelten übersetzt und dabei bis zur Anwendungsschicht arbeiten kann — etwa ein VoIP-Gateway zwischen IP-Telefonie und klassischem Telefonnetz. Im Alltag meint man mit Gateway aber meist das Default-Gateway, also einen Router.The term gateway is used in two senses. In the narrow sense, a gateway is a device that translates between different protocol worlds and may operate up to the application layer — for example a VoIP gateway between IP telephony and the classic telephone network. In everyday use, however, gateway usually means the default gateway, i.e. a router.

NIC (Netzwerkkarte)NIC (network interface card)

Eine NIC (Network Interface Card) ist die Netzwerkschnittstelle eines Endgeräts. Sie trägt eine fest zugewiesene MAC-Adresse und arbeitet auf den Schichten 1 und 2: Sie wandelt Daten in Signale um (Schicht 1) und kapselt sie in Frames mit MAC-Adressen (Schicht 2).A NIC (network interface card) is the network interface of an end device. It carries a permanently assigned MAC address and works at layers 1 and 2: it converts data into signals (layer 1) and encapsulates them into frames with MAC addresses (layer 2).

ÜbersichtstabelleOverview table

Kollisionsdomäne vs. Broadcast-DomäneCollision domain vs. broadcast domain

Eine Kollisionsdomäne ist ein Netzabschnitt, in dem zwei gleichzeitig sendende Geräte eine Kollision verursachen können. In klassischen Half-Duplex-Ethernet-Segmenten mussten sich Geräte das Medium teilen und Kollisionen über CSMA/CD erkennen. Je mehr Geräte sich eine Kollisionsdomäne teilen, desto mehr Kollisionen und desto weniger nutzbare Bandbreite.A collision domain is a network section in which two devices transmitting at the same time can cause a collision. In classic half-duplex Ethernet segments, devices had to share the medium and detect collisions via CSMA/CD. The more devices share a collision domain, the more collisions occur and the less usable bandwidth remains.

Eine Broadcast-Domäne ist der Bereich, in dem ein Broadcast (Ziel an alle) alle Geräte erreicht. Broadcasts werden etwa von ARP bei IPv4 oder von DHCP genutzt. Eine zu große Broadcast-Domäne führt zu unnötigem Verkehr auf jedem Gerät und kann das Netz spürbar belasten.A broadcast domain is the area in which a broadcast (destination to all) reaches every device. Broadcasts are used, for example, by ARP in IPv4 or by DHCP. An overly large broadcast domain causes unnecessary traffic on every device and can noticeably burden the network.

Die Einordnung der Geräte ergibt sich daraus klar:From this, the classification of devices is clear:

• Ein Hub trennt weder Kollisions- noch Broadcast-Domänen — alle Ports bilden eine einzige große Kollisionsdomäne.A hub separates neither collision nor broadcast domains — all ports form one single large collision domain.
• Ein Switch trennt Kollisionsdomänen (jeder Port ist eine eigene), lässt Broadcasts aber durch — das ganze Switch-Netz bleibt eine Broadcast-Domäne.A switch separates collision domains (each port is its own) but lets broadcasts through — the entire switched network remains one broadcast domain.
• Ein Router trennt Broadcast-Domänen: An jeder Router-Schnittstelle endet eine Broadcast-Domäne und beginnt eine neue.A router separates broadcast domains: at each router interface one broadcast domain ends and a new one begins.

IPv6 kennt übrigens keine Broadcasts mehr und ersetzt sie durch Multicast, doch das Prinzip der Domänen-Trennung durch Router bleibt unverändert.IPv6, by the way, no longer uses broadcasts and replaces them with multicast, but the principle of domain separation by routers remains unchanged.

Was ist ein Default-Gateway?What is a default gateway?

Das Default-Gateway ist die IP-Adresse des Routers, an den ein Host alle Pakete schickt, deren Ziel außerhalb des eigenen Subnetzes liegt. Möchte ein Gerät mit einem Ziel im selben Subnetz kommunizieren, spricht es dieses direkt an. Liegt das Ziel in einem anderen Netz, sendet es das Paket stattdessen an das Default-Gateway, das die Weiterleitung übernimmt.The default gateway is the IP address of the router to which a host sends all packets whose destination lies outside its own subnet. If a device wants to communicate with a destination in the same subnet, it addresses it directly. If the destination is in another network, it sends the packet to the default gateway instead, which handles forwarding.

Der Ablauf in Kurzform:The process in brief:

1. Der Host vergleicht die Ziel-IP mit seiner eigenen Adresse und der Subnetzmaske.The host compares the destination IP with its own address and the subnet mask.
2. Liegt das Ziel im selben Subnetz, wird es per MAC-Adresse direkt erreicht.If the destination is in the same subnet, it is reached directly by MAC address.
3. Liegt es außerhalb, wird das Paket an die MAC-Adresse des Default-Gateways geschickt, die Ziel-IP bleibt aber die des eigentlichen Empfängers.If it is outside, the packet is sent to the MAC address of the default gateway, but the destination IP remains that of the actual recipient.

Bei IPv4 wird das Default-Gateway häufig per DHCP verteilt. Bei IPv6 erfahren Hosts ihr Standard-Gateway typischerweise über Router-Advertisements (SLAAC). Ein fehlendes oder falsches Default-Gateway äußert sich darin, dass das lokale Netz funktioniert, aber kein Ziel außerhalb (etwa das Internet) erreichbar ist.In IPv4 the default gateway is often distributed via DHCP. In IPv6 hosts typically learn their default gateway through router advertisements (SLAAC). A missing or wrong default gateway shows up as the local network working but no destination outside it (such as the internet) being reachable.

Weiterführende ArtikelRelated articles

• Switching — wie Switches MAC-Adressen lernen und Frames weiterleitenSwitching — how switches learn MAC addresses and forward frames
• Routing — wie Router den Weg zum Ziel bestimmenRouting — how routers determine the path to the destination
• VLAN — Broadcast-Domänen logisch trennenVLAN — separating broadcast domains logically
• WLAN — drahtlose Netze und Access PointsWi-Fi — wireless networks and access points
• Firewall — Verkehr filtern und Netze absichernFirewall — filtering traffic and securing networks

Das TCP/IP-ModellThe TCP/IP model

Das TCP/IP-Modell ist das praktisch eingesetzte Schichtenmodell des Internets. Es fasst die Kommunikation in vier Schichten zusammen, von der physischen Übertragung bis zur Anwendung, und bildet die Grundlage jeder modernen Vernetzung. Anders als das eher theoretische OSI-Modell ist es aus echten Implementierungen gewachsen und beschreibt, wie Daten tatsächlich durch Netze reisen.The TCP/IP model is the layered model actually used by the Internet. It groups communication into four layers, from physical transmission up to the application, and underpins all modern networking. Unlike the more theoretical OSI model it grew out of real implementations and describes how data actually travels across networks.

Die vier Schichten im ÜberblickThe four layers at a glance

Jede Schicht erfüllt eine klar abgegrenzte Aufgabe und nutzt nur die Dienste der direkt darunterliegenden Schicht. Dieses Prinzip der Schichtentrennung macht das Modell flexibel: Eine Anwendung muss nicht wissen, ob ihre Daten über Glasfaser oder WLAN laufen.Each layer has a clearly defined task and uses only the services of the layer directly below it. This principle of layer separation makes the model flexible: an application does not need to know whether its data travels over fibre or Wi-Fi.

• Netzzugang (Link): physische Übertragung und lokale Adressierung im Segment (Ethernet, WLAN, MAC).Network access (link): physical transmission and local addressing within a segment (Ethernet, Wi-Fi, MAC).
• Internet: logische Adressierung und Routing zwischen Netzen (IP).Internet: logical addressing and routing across networks (IP).
• Transport: Ende-zu-Ende-Verbindungen, Ports, Zuverlässigkeit (TCP, UDP).Transport: end-to-end connections, ports, reliability (TCP, UDP).
• Anwendung: Dienste und Protokolle für Programme (HTTP, DNS, SMTP).Application: services and protocols for programs (HTTP, DNS, SMTP).

Kurze GeschichteA short history

Die Wurzeln liegen im ARPANET der späten 1960er Jahre, dem ersten paketvermittelten Netz des US-Verteidigungsministeriums. Anfang der 1970er entwickelten Vint Cerf und Bob Kahn das Konzept einer gemeinsamen „Internetworking"-Protokollfamilie, aus der TCP und IP hervorgingen. Am 1. Januar 1983 stellte das ARPANET vollständig auf TCP/IP um, der oft genannte „Geburtstag des Internets".Its roots lie in the ARPANET of the late 1960s, the first packet-switched network of the US Department of Defense. In the early 1970s Vint Cerf and Bob Kahn developed the concept of a shared "internetworking" protocol family from which TCP and IP emerged. On 1 January 1983 the ARPANET switched entirely to TCP/IP, often called the "birthday of the Internet".

Maßgeblich kodifiziert wurde die Praxis 1989 in RFC 1122 und RFC 1123 („Requirements for Internet Hosts"). Diese Dokumente legten verbindlich fest, wie Hosts die Schichten umsetzen müssen. Weil die Protokolle frei, herstellerunabhängig und an realem Datenverkehr erprobt waren, trägt TCP/IP bis heute das gesamte Internet, vom kleinen Heimnetz bis zu globalen Rechenzentren.The practice was authoritatively codified in 1989 in RFC 1122 and RFC 1123 ("Requirements for Internet Hosts"). These documents mandated how hosts must implement the layers. Because the protocols were open, vendor-neutral and proven against real traffic, TCP/IP still carries the entire Internet today, from a small home network to global data centres.

Die Schichten im DetailThe layers in detail

1. Netzzugang (Link)1. Network access (link)

Diese unterste Schicht bringt Bits über ein konkretes Medium von einem Gerät zum nächsten innerhalb desselben Netzsegments. Sie kümmert sich um die physische Signalübertragung (Kupfer, Glasfaser, Funk) und um die lokale Adressierung per MAC-Adresse. Sie kennt kein Routing über Netzgrenzen hinweg, sondern nur den direkten Nachbarn auf der Leitung.This bottom layer moves bits over a concrete medium from one device to the next within the same network segment. It handles physical signal transmission (copper, fibre, radio) and local addressing via MAC address. It knows nothing about routing across network boundaries, only the direct neighbour on the wire.

Typische Protokolle und Techniken: Ethernet (IEEE 802.3), WLAN (IEEE 802.11) und PPP für serielle bzw. Einwahlverbindungen. Auch Frame-Prüfsummen und das Erkennen von Kollisionen gehören hierher.Typical protocols and techniques: Ethernet (IEEE 802.3), Wi-Fi (IEEE 802.11) and PPP for serial or dial-up links. Frame checksums and collision detection also belong here.

2. Internet2. Internet

Die Internetschicht sorgt dafür, dass Pakete über mehrere Netze hinweg ihr Ziel finden. Sie führt die logische Adressierung mit IP-Adressen ein und übernimmt das Routing: Jeder Router entscheidet anhand der Zieladresse, über welche Schnittstelle ein Paket weitergeleitet wird. Pakete können dabei unterschiedliche Wege nehmen und unterwegs fragmentiert werden.The Internet layer ensures that packets find their destination across multiple networks. It introduces logical addressing with IP addresses and handles routing: each router decides, based on the destination address, which interface forwards a packet. Packets may take different paths and be fragmented on the way.

Kernprotokolle: IP (IPv4 wie 192.168.0.1 und IPv6 wie 2001:db8::1), ICMP für Diagnose- und Fehlermeldungen (z. B. ping) sowie ARP, das IP-Adressen auf MAC-Adressen abbildet. Wichtig: IP arbeitet verbindungslos und ohne Zustellgarantie, Zuverlässigkeit ist Aufgabe der nächsthöheren Schicht.Core protocols: IP (IPv4 such as 192.168.0.1 and IPv6 such as 2001:db8::1), ICMP for diagnostics and error messages (e.g. ping), and ARP, which maps IP addresses to MAC addresses. Important: IP works connectionless and without delivery guarantee; reliability is the job of the next layer up.

3. Transport3. Transport

Die Transportschicht stellt eine Ende-zu-Ende-Verbindung zwischen zwei Anwendungen her und unterscheidet sie über Portnummern. So können auf einem Host viele Dienste gleichzeitig laufen, etwa Webserver auf Port 443 und SSH auf Port 22.The transport layer establishes an end-to-end connection between two applications and distinguishes them by port numbers. This lets many services run on one host at the same time, e.g. a web server on port 443 and SSH on port 22.

• TCP: verbindungsorientiert, mit Drei-Wege-Handshake, Reihenfolge-Sicherung, Quittungen und erneutem Senden. Geeignet für Web, E-Mail und Dateiübertragung, wo Vollständigkeit zählt.TCP: connection-oriented, with three-way handshake, ordering, acknowledgements and retransmission. Suited to web, email and file transfer, where completeness matters.
• UDP: verbindungslos und schlank, ohne Quittungen. Ideal für DNS, Streaming, VoIP und Spiele, wo Geschwindigkeit wichtiger ist als jedes einzelne Paket.UDP: connectionless and lean, without acknowledgements. Ideal for DNS, streaming, VoIP and games, where speed matters more than every single packet.

4. Anwendung4. Application

Die oberste Schicht enthält die Protokolle, mit denen Programme direkt arbeiten. Sie definiert das Format der ausgetauschten Nachrichten, also die eigentliche „Sprache" des Dienstes, und überlässt Transport und Wegfindung den unteren Schichten. Im TCP/IP-Modell deckt sie die OSI-Schichten Anwendung, Darstellung und Sitzung gemeinsam ab.The top layer contains the protocols that programs work with directly. It defines the format of the messages exchanged, the actual "language" of the service, and leaves transport and path-finding to the layers below. In the TCP/IP model it covers the OSI application, presentation and session layers together.

Beispiele: HTTP/HTTPS (Web), DNS (Namensauflösung), DHCP (automatische Adressvergabe), SMTP/IMAP (E-Mail), FTP und SSH. Diese Protokolle setzen je nach Bedarf auf TCP oder UDP auf.Examples: HTTP/HTTPS (web), DNS (name resolution), DHCP (automatic address assignment), SMTP/IMAP (email), FTP and SSH. These protocols run on TCP or UDP as appropriate.

Protokolle je SchichtProtocols by layer

Vergleich OSI ↔ TCP/IPComparison OSI ↔ TCP/IP

Kapselung (Encapsulation)Encapsulation

Beim Senden wandern die Daten von oben nach unten durch die Schichten. Jede Schicht fügt einen eigenen Header hinzu und reicht das Ergebnis nach unten weiter, das ist die Kapselung. Beim Empfänger werden die Header in umgekehrter Reihenfolge wieder entfernt (Entkapselung). Dadurch entstehen je Schicht eigene Bezeichnungen für die Dateneinheit:When sending, data travels top-down through the layers. Each layer adds its own header and passes the result down; this is encapsulation. At the receiver the headers are removed in reverse order (decapsulation). This gives each layer its own name for the data unit:

• Anwendung: Daten / NachrichtApplication: data / message
• Transport: Segment (TCP) bzw. Datagramm (UDP)Transport: segment (TCP) or datagram (UDP)
• Internet: PaketInternet: packet
• Netzzugang: FrameNetwork access: frame

PraxisIn practice

Administratorinnen und Administratoren denken im Alltag fast immer in TCP/IP, weil sich daran konkrete Aufgaben festmachen lassen: eine IP-Adresse und ein Default-Gateway konfigurieren (Internet), eine Firewall-Regel für Port 443 setzen (Transport), einen DNS- oder DHCP-Dienst betreiben (Anwendung) oder ein Kabel- bzw. WLAN-Problem eingrenzen (Netzzugang). Die Schicht sagt sofort, wo ein Fehler liegen könnte.In daily work admins almost always think in TCP/IP, because concrete tasks map onto it: configure an IP address and default gateway (Internet), set a firewall rule for port 443 (transport), run a DNS or DHCP service (application), or narrow down a cabling or Wi-Fi issue (network access). The layer immediately tells you where a fault might be.

Auch die Fehlersuche folgt dem Modell: ping testet die Internetschicht, traceroute zeigt den Weg über Router, ein Portscan oder telnet host 80 prüft den Transport, und ein Aufruf mit curl testet die Anwendung. Wer die Schicht kennt, in der das Problem auftritt, spart viel Zeit.Troubleshooting follows the model too: ping tests the Internet layer, traceroute shows the path across routers, a port scan or telnet host 80 checks transport, and a call with curl tests the application. Knowing which layer a problem sits in saves a lot of time.

Warum es in der Praxis dominiertWhy it dominates in practice

TCP/IP wurde nicht am Reißbrett perfektioniert, sondern an laufenden Implementierungen erprobt („running code"). Es ist schlanker, herstellerunabhängig und wuchs mit dem Internet. Das OSI-Modell blieb vor allem ein Lehrmodell, während TCP/IP der reale Standard wurde.TCP/IP was not perfected on a drawing board but proven on running implementations ("running code"). It is leaner, vendor-neutral and grew with the Internet. The OSI model remained mainly a teaching model, while TCP/IP became the real standard.

Kapselung & PDUsEncapsulation & PDUs

Kapselung beschreibt, wie Nutzdaten beim Durchlaufen der Schichten Schritt für Schritt mit Steuerinformationen verpackt werden. Das Ergebnis jeder Schicht heißt PDU (Protocol Data Unit). Dieses Prinzip ist das Herzstück des Schichtenmodells: Jede Schicht erledigt ihre Aufgabe unabhängig von den anderen und behandelt alles, was von oben kommt, als reine Nutzlast.Encapsulation describes how payload data is wrapped step by step with control information as it passes through the layers. The output of each layer is called a PDU (protocol data unit). This principle is at the heart of the layered model: each layer does its job independently of the others and treats everything that comes from above as opaque payload.

Grundidee: Briefumschläge im BriefumschlagThe core idea: envelopes inside envelopes

Man kann sich Kapselung wie ineinander verschachtelte Briefumschläge vorstellen. Die innerste Schicht ist die eigentliche Nachricht, jede äußere Schicht legt einen weiteren Umschlag mit zusätzlichen Adress- und Steuerangaben drumherum. Auf dem Weg zum Ziel öffnet jede Station nur den Umschlag, der für sie bestimmt ist — den Inhalt darin gibt sie unverändert weiter.Encapsulation can be pictured as envelopes nested inside one another. The innermost layer is the actual message; each outer layer wraps another envelope with additional addressing and control data around it. On the way to the destination, every station opens only the envelope meant for it and passes the contents inside along unchanged.

Kapselung Schritt für SchrittEncapsulation step by step

Beim Sender wandern die Daten von der Anwendung nach unten. Jede Schicht fügt ihren Header (und ggf. einen Trailer) hinzu und übergibt das Ganze als Nutzlast an die nächste Schicht:At the sender, data travels down from the application. Each layer adds its header (and possibly a trailer) and hands the whole thing as payload to the next layer:

1. Die Anwendung erzeugt Daten (z. B. eine HTTP-Anfrage).The application produces data (e.g. an HTTP request).
2. Transport ergänzt einen TCP-/UDP-Header → Segment bzw. Datagramm.Transport adds a TCP/UDP header → segment or datagram.
3. Die Internet-Schicht ergänzt den IP-Header → Paket.The Internet layer adds the IP header → packet.
4. Die Sicherungsschicht ergänzt Header und Trailer → Frame.The data link layer adds header and trailer → frame.
5. Die Bitübertragung sendet das Ganze als Bits über das Medium.The physical layer sends everything as bits over the medium.

Konkretes Beispiel: Ein Browser ruft eine Webseite ab. Die HTTP-Anfrage wird zum Segment (TCP-Header mit Ziel-Port 443), das Segment zum Paket (IP-Header mit der Ziel-IP des Servers), das Paket zum Frame (MAC-Adresse des nächsten Routers) und der Frame schließlich zu einem Signal auf der Leitung.A concrete example: a browser fetches a web page. The HTTP request becomes a segment (TCP header with destination port 443), the segment becomes a packet (IP header with the server's destination IP), the packet becomes a frame (MAC address of the next router) and the frame finally becomes a signal on the wire.

EntkapselungDecapsulation

Beim Empfänger läuft der Vorgang umgekehrt: Jede Schicht liest und entfernt ihren eigenen Header, prüft ihn und reicht die verbleibende Nutzlast nach oben weiter — bis die Anwendung wieder die reinen Daten erhält. Eine Schicht spricht dabei immer mit ihrer Gegenstelle: Der IP-Header des Senders wird von der IP-Schicht des Empfängers ausgewertet, der TCP-Header vom TCP des Empfängers usw. Dieses Prinzip heißt Peer-to-Peer-Kommunikation der Schichten.At the receiver the process is reversed: each layer reads and removes its own header, checks it and passes the remaining payload upward — until the application receives the plain data again. A layer always talks to its peer: the sender's IP header is evaluated by the receiver's IP layer, the TCP header by the receiver's TCP, and so on. This principle is called peer-to-peer communication between layers.

PDU-Namen je SchichtPDU names per layer

Header und TrailerHeader and trailer

Ein Header steht vor der Nutzlast und enthält Steuerinformationen der jeweiligen Schicht (Adressen, Ports, Flags). Ein Trailer steht dahinter; auf Schicht 2 trägt er typischerweise eine Prüfsumme (FCS), mit der der Empfänger Übertragungsfehler erkennt. Die meisten Schichten verwenden nur einen Header — der Trailer ist auf der Sicherungsschicht die Ausnahme, weil die FCS erst nach dem gesamten Frame berechnet werden kann.A header precedes the payload and carries the layer's control information (addresses, ports, flags). A trailer follows it; at layer 2 it typically holds a checksum (FCS) with which the receiver detects transmission errors. Most layers use only a header — the trailer is the exception at the data link layer because the FCS can only be computed once the whole frame is known.

Die genauen Felder von Ethernet, IPv4, IPv6, TCP und UDP — samt anschaulicher Diagramme — findest du im eigenen Artikel Header-Formate.The exact fields of Ethernet, IPv4, IPv6, TCP and UDP — with clear diagrams — are in the dedicated article Header formats.

Overhead: Nutzdaten gegen SteuerdatenOverhead: payload versus control data

Jeder Header kostet Platz, der nicht für Nutzdaten zur Verfügung steht. Für eine typische TCP-über-IPv4-über-Ethernet-Übertragung summieren sich die Header so:Every header costs space that is not available for payload. For a typical TCP-over-IPv4-over-Ethernet transfer the headers add up as follows:

Bei einem vollen Frame mit 1460 Byte Nutzdaten beträgt der Overhead 58 von insgesamt 1518 Byte — also nur rund 3,8 %. Werden dagegen nur 1 Byte Nutzdaten verschickt (z. B. ein einzelner Tastendruck), steckt in 59 Byte fast ausschließlich Overhead: über 98 %. Viele kleine Pakete sind daher ineffizient — Mechanismen wie der Nagle-Algorithmus fassen sie deshalb zusammen.For a full frame with 1460 bytes of payload, the overhead is 58 out of 1518 bytes — only about 3.8 %. If, however, only 1 byte of payload is sent (e.g. a single keystroke), almost all of the 59 bytes is overhead: over 98 %. Many small packets are therefore inefficient — which is why mechanisms such as Nagle's algorithm bundle them.

De- und MultiplexingDe- and multiplexing

Auf einem Rechner laufen viele Anwendungen gleichzeitig über dieselbe Netzwerkverbindung. Multiplexing bedeutet, dass der Sender die Datenströme verschiedener Anwendungen über eine gemeinsame untere Schicht bündelt. Demultiplexing ist die Umkehrung beim Empfänger: Wie weiß das Betriebssystem, zu welcher Anwendung ein eintreffendes Paket gehört?A computer runs many applications at the same time over the same network connection. Multiplexing means the sender bundles the data streams of different applications over one shared lower layer. Demultiplexing is the reverse at the receiver: how does the operating system know which application an incoming packet belongs to?

1. Das Protokoll-Feld im IP-Header (6=TCP, 17=UDP) entscheidet, an welches Transportprotokoll das Paket übergeben wird.The protocol field in the IP header (6=TCP, 17=UDP) decides which transport protocol receives the packet.
2. Der Ziel-Port im TCP-/UDP-Header ordnet das Segment der richtigen Anwendung bzw. dem richtigen Socket zu.The destination port in the TCP/UDP header maps the segment to the correct application or socket.

Eindeutig identifiziert wird eine Verbindung durch das 4-Tupel aus Quell-IP, Quell-Port, Ziel-IP und Ziel-Port (plus Protokoll). So können z. B. zwei Browser-Tabs gleichzeitig denselben Server auf Port 443 ansprechen — sie unterscheiden sich im Quell-Port.A connection is uniquely identified by the 4-tuple of source IP, source port, destination IP and destination port (plus protocol). This lets two browser tabs, for example, talk to the same server on port 443 at the same time — they differ in their source port.

MTU, MSS & FragmentierungMTU, MSS & fragmentation

Die MTU (Maximum Transmission Unit) ist die größte Nutzlast, die ein Frame tragen kann — bei Ethernet üblich 1500 Byte. Davon abgeleitet ist die MSS (Maximum Segment Size): die maximale Menge an Anwendungsdaten pro TCP-Segment. Sie ergibt sich als MTU minus IP- und TCP-Header:The MTU (maximum transmission unit) is the largest payload a frame can carry — commonly 1500 bytes on Ethernet. Derived from it is the MSS (maximum segment size): the maximum amount of application data per TCP segment. It is the MTU minus the IP and TCP headers:

• IPv4:IPv4: 1500 − 20 − 20 = 1460 Bytebytes
• IPv6:IPv6: 1500 − 40 − 20 = 1440 Bytebytes

Ist ein Paket größer als die MTU des Pfades, muss es in kleinere Teile zerlegt werden (Fragmentierung). Bei IPv4 kann ein Router unterwegs fragmentieren, sofern das „Don't Fragment"-Flag nicht gesetzt ist; andernfalls verwirft er das Paket und meldet dies per ICMP zurück. IPv6 verbietet die Fragmentierung durch Router komplett — hier muss der Sender selbst eine passende Größe wählen.If a packet exceeds the path MTU, it must be split into smaller pieces (fragmentation). In IPv4 a router along the way may fragment unless the "Don't Fragment" flag is set; otherwise it drops the packet and reports this via ICMP. IPv6 forbids router fragmentation entirely — here the sender itself must choose a suitable size.

Path MTU Discovery ermittelt die kleinste MTU entlang des gesamten Pfades: Der Sender schickt Pakete mit „Don't Fragment"-Flag; ein Router, dessen Verbindung zu klein ist, antwortet mit einer ICMP-Meldung samt der zulässigen MTU. Der Sender verkleinert daraufhin seine Pakete. Werden diese ICMP-Meldungen von einer Firewall geblockt, entsteht das berüchtigte „PMTUD-Blackhole": Verbindungen scheinen zu stehen, große Übertragungen bleiben aber hängen.Path MTU Discovery determines the smallest MTU along the entire path: the sender emits packets with the "Don't Fragment" flag; a router whose link is too small replies with an ICMP message including the allowed MTU. The sender then shrinks its packets. If these ICMP messages are blocked by a firewall, the notorious "PMTUD blackhole" occurs: connections appear to establish, but large transfers stall.

Das Kapselungsprinzip auf den PunktThe encapsulation principle in a nutshell

Der eigentliche Gewinn der Kapselung ist die Entkopplung der Schichten: TCP muss nicht wissen, ob darunter Ethernet, WLAN oder Glasfaser liegt; Ethernet interessiert sich nicht für den Inhalt des IP-Pakets. Jede Schicht behandelt die Nutzlast als undurchsichtigen Block und liest ausschließlich ihren eigenen Header.The real benefit of encapsulation is the decoupling of layers: TCP does not need to know whether Ethernet, Wi-Fi or fibre lies beneath it; Ethernet does not care about the contents of the IP packet. Each layer treats the payload as an opaque block and reads only its own header.

Header-FormateHeader formats

Jede Schicht stellt der Nutzlast einen Header voran — eine feste Folge von Feldern mit definierter Bit-Breite. Hier siehst du die wichtigsten Header als Diagramm und im Detail.Each layer prepends a header to the payload — a fixed sequence of fields with defined bit widths. Here are the most important headers as a diagram and in detail.

Wie man ein Header-Diagramm liestHow to read a header diagram

Die Diagramme sind 32 Bit breit: Eine Zeile entspricht einem 32-Bit-Wort, Bit 0 links bis 31 rechts. Jedes Feld ist so breit wie seine Bitanzahl. Der Ethernet-Frame wird byte-weise gezeigt (nicht maßstabsgetreu). Farbcode: Adressfelder magenta, Ports cyan, Nutzlast grün, Trailer amber.The diagrams are 32 bits wide: one row equals one 32-bit word, bit 0 on the left to 31 on the right. Each field is as wide as its bit count. The Ethernet frame is shown byte-wise (not to scale). Colour code: address fields magenta, ports cyan, payload green, trailer amber.

Ethernet-FrameEthernet frame

Auf Schicht 2 umschließen Header (14 Byte: Ziel-MAC, Quell-MAC, EtherType) und FCS-Trailer (4 Byte) die Nutzlast. Präambel und SFD (8 Byte) dienen der Synchronisation und zählen meist nicht zur Frame-Größe.At layer 2, the header (14 bytes: destination MAC, source MAC, EtherType) and the FCS trailer (4 bytes) wrap the payload. Preamble and SFD (8 bytes) are for synchronisation and usually not counted as part of the frame size.

VLAN-Tag (802.1Q)VLAN tag (802.1Q)

Ein VLAN-Tag macht aus einem normalen Frame einen getaggten Frame: Vier zusätzliche Byte werden zwischen Quell-MAC und EtherType eingeschoben — der Frame wächst von maximal 1518 auf 1522 Byte. So weiß jeder Switch, zu welchem VLAN der Frame gehört.A VLAN tag turns a normal frame into a tagged frame: four extra bytes are inserted between source MAC and EtherType — the frame grows from a maximum of 1518 to 1522 bytes. This tells every switch which VLAN the frame belongs to.

Das herausgezoomte Tag zeigt seine vier Felder: den TPID (0x8100, kennzeichnet den Frame als getaggt) und die Tag Control Information (TCI) aus PCP, CFI und der VLAN-ID. Im Beispiel ergibt VLAN 1001 die Bytes 03 E9 (hex).The zoomed-in tag shows its four fields: the TPID (0x8100, marking the frame as tagged) and the Tag Control Information (TCI) made of PCP, CFI and the VLAN ID. In the example, VLAN 1001 yields the bytes 03 E9 (hex).

IPv4-HeaderIPv4 header

Der IPv4-Header ist ohne Optionen 20 Byte groß. Er trägt die Ende-zu-Ende-Adressen und steuert das Routing über Netzgrenzen.The IPv4 header is 20 bytes without options. It carries the end-to-end addresses and drives routing across networks.

IPv6-HeaderIPv6 header

Der feste IPv6-Header ist 40 Byte groß — größer als bei IPv4, aber bewusst einfacher: keine Prüfsumme, keine Fragmentierung im Header, keine variablen Optionen (diese werden in Extension-Header ausgelagert). Das erleichtert Routern die Verarbeitung.The fixed IPv6 header is 40 bytes — larger than IPv4 but deliberately simpler: no checksum, no fragmentation in the header, no variable options (these go into extension headers). This makes processing easier for routers.

TCP-HeaderTCP header

Der TCP-Header ist ohne Optionen 20 Byte groß. Sequenz- und Bestätigungsnummern sowie Flags machen TCP zuverlässig und verbindungsorientiert.The TCP header is 20 bytes without options. Sequence and acknowledgment numbers plus flags make TCP reliable and connection-oriented.

Im 9 Bit großen Flags-Feld steuern einzelne Bits den Verbindungszustand. Die wichtigsten Steuer-Flags:Within the 9-bit flags field, individual bits control the connection state. The most important control flags:

Tipp: Flag antippen für Bedeutung.Tip: tap a flag for its meaning.

UDP-HeaderUDP header

UDP ist mit nur 8 Byte denkbar schlank: Quell-Port, Ziel-Port, Länge und Prüfsumme — keine Sequenznummern, keine Flags, kein Verbindungsaufbau. Dafür schnell und ideal für DNS, Streaming und VoIP.UDP is extremely lean at just 8 bytes: source port, destination port, length and checksum — no sequence numbers, no flags, no connection setup. In return it is fast and ideal for DNS, streaming and VoIP.

Adressierung: MAC, IP, PortAddressing: MAC, IP, port

Damit Daten ihr Ziel finden, greifen drei Adresstypen auf verschiedenen Schichten ineinander: MAC lokal, IP über das ganze Netz, Port am richtigen Dienst. Wer dieses Zusammenspiel versteht, kann den Weg eines Pakets vom Browser bis zum Server lückenlos nachvollziehen.For data to reach its target, three address types on different layers work together: MAC locally, IP across the whole network, port at the right service. Understanding this interplay lets you trace a packet's path from the browser all the way to the server without gaps.

Zusammenspiel über die SchichtenInterplay across the layers

Die IP-Adresse (Schicht 3) identifiziert den Endpunkt Ende-zu-Ende und bleibt auf dem ganzen Weg gleich. Die MAC-Adresse (Schicht 2) gilt nur im lokalen Segment und wird an jedem Router-Hop ausgetauscht. Der Port (Schicht 4) wählt auf dem Zielhost den richtigen Dienst aus. Erst die Kombination liefert Daten exakt an die richtige Anwendung.The IP address (layer 3) identifies the endpoint end-to-end and stays the same along the whole path. The MAC address (layer 2) is valid only within the local segment and is swapped at every router hop. The port (layer 4) selects the right service on the target host. Only the combination delivers data exactly to the correct application.

• MAC: „Welches Gerät im selben Segment?"MAC: "Which device in the same segment?"
• IP: „Welcher Host im Internet?"IP: "Which host on the Internet?"
• Port: „Welcher Dienst auf diesem Host?"Port: "Which service on this host?"

Ein anschauliches Bild ist der klassische Brief: Die IP-Adresse entspricht der vollständigen Postanschrift mit Stadt und Land — sie führt den Brief über beliebig viele Verteilzentren bis zum richtigen Haus. Die MAC-Adresse ist der Zusteller, der das Paket nur das letzte Stück von der nächsten Verteilstation bis zur Tür trägt und auf jedem Abschnitt ein anderer ist. Der Port schließlich ist die Wohnungsnummer im Mehrfamilienhaus: Er entscheidet, welcher Bewohner — also welche Anwendung — den Inhalt bekommt.A vivid analogy is the classic letter: the IP address is the full postal address with city and country — it carries the letter through any number of sorting centres to the right building. The MAC address is the courier who carries the parcel only the last leg from the nearest depot to the door and is a different one on every segment. The port, finally, is the apartment number in a block of flats: it decides which resident — that is, which application — receives the contents.

MAC vs. IP vs. PortMAC vs. IP vs. port

MAC-Adresse im DetailThe MAC address in detail

Die MAC-Adresse (Media Access Control) ist 48 Bit lang und kennzeichnet eine Netzwerkschnittstelle auf Schicht 2. Geschrieben wird sie als sechs Hexadezimal-Paare, getrennt durch Doppelpunkte oder Bindestriche — z. B. 00:1A:2B:3C:4D:5E. Die ersten 24 Bit bilden die OUI (Organizationally Unique Identifier), die jeder Hersteller bei der IEEE registriert; die hinteren 24 Bit vergibt der Hersteller geräteindividuell. So ist jede ab Werk gebrannte Adresse weltweit eindeutig.The MAC address (Media Access Control) is 48 bit long and identifies a network interface on layer 2. It is written as six hexadecimal pairs separated by colons or hyphens — e.g. 00:1A:2B:3C:4D:5E. The first 24 bit form the OUI (Organizationally Unique Identifier), which each manufacturer registers with the IEEE; the last 24 bit are assigned per device by the manufacturer. This makes every factory-burned address globally unique.

• OUI (Bytes 1–3): identifiziert den Hersteller; anhand der OUI lässt sich oft das Gerät zuordnen.OUI (bytes 1–3): identifies the vendor; the OUI often reveals the device type.
• Gerätekennung (Bytes 4–6): vom Hersteller fortlaufend vergeben, eindeutig je OUI.Device part (bytes 4–6): assigned sequentially by the vendor, unique per OUI.
• U/L- und I/G-Bit: Im ersten Byte zeigen zwei Bits an, ob die Adresse lokal verwaltet (geändert) ist und ob es sich um Unicast oder Gruppe handelt.U/L and I/G bit: two bits in the first byte mark whether the address is locally administered (changed) and whether it is unicast or group.

Wichtig: Die MAC-Adresse ist nur lokal gültig. Innerhalb eines Ethernet- oder WLAN-Segments wird damit der direkte Nachbar angesprochen. Sobald ein Router das Paket weiterleitet, ersetzt er Quell- und Ziel-MAC durch die Adressen des nächsten Abschnitts — die IP-Adressen bleiben dabei unangetastet. Die MAC ändert sich also auf jedem Hop, die IP nicht. Moderne Geräte nutzen außerdem MAC-Randomisierung, um beim WLAN-Scannen nicht über eine feste Adresse verfolgbar zu sein.Important: the MAC address is only locally valid. Within an Ethernet or Wi-Fi segment it addresses the direct neighbour. As soon as a router forwards the packet, it replaces source and destination MAC with the addresses of the next segment — while the IP addresses stay untouched. So the MAC changes on every hop, the IP does not. Modern devices also use MAC randomisation to avoid being trackable by a fixed address while scanning for Wi-Fi.

IP-Adresse im DetailThe IP address in detail

Die IP-Adresse arbeitet auf Schicht 3 und sorgt für die Ende-zu-Ende-Zustellung über Netzgrenzen hinweg. Sie kommt in zwei Versionen vor: IPv4 mit 32 Bit (rund 4,3 Milliarden Adressen, geschrieben als vier Dezimalwerte wie 192.168.1.10) und IPv6 mit 128 Bit (praktisch unbegrenzt, geschrieben in Hex-Blöcken wie 2001:db8::1). IPv6 wurde eingeführt, weil die IPv4-Adressen knapp wurden.The IP address works on layer 3 and provides end-to-end delivery across network boundaries. It exists in two versions: IPv4 with 32 bit (about 4.3 billion addresses, written as four decimal values like 192.168.1.10) and IPv6 with 128 bit (virtually unlimited, written in hex blocks like 2001:db8::1). IPv6 was introduced because IPv4 addresses ran short.

Adressen sind außerdem öffentlich oder privat. Öffentliche IP-Adressen sind weltweit eindeutig und im Internet routbar. Private Bereiche — bei IPv4 10.0.0.0/8, 172.16.0.0/12 und 192.168.0.0/16 — gelten nur im lokalen Netz und werden per NAT auf eine öffentliche Adresse übersetzt, wenn ein Gerät ins Internet kommuniziert. Anders als die MAC bleibt die IP-Zieladresse auf dem gesamten Weg gleich; nur die Quell-IP kann durch NAT ausgetauscht werden.Addresses are also public or private. Public IP addresses are globally unique and routable on the Internet. Private ranges — for IPv4 10.0.0.0/8, 172.16.0.0/12 and 192.168.0.0/16 — are valid only in the local network and are translated to a public address via NAT when a device talks to the Internet. Unlike the MAC, the destination IP stays the same along the whole path; only the source IP may be swapped by NAT.

Port im DetailThe port in detail

Ein Port ist eine 16-Bit-Zahl (0–65535) auf Schicht 4 und adressiert innerhalb eines Hosts eine bestimmte Anwendung bzw. einen Dienst. Während die IP zum richtigen Host führt, leitet der Port das Paket an das richtige Programm weiter — etwa den Webserver oder den Mailserver auf demselben Rechner. Die IANA teilt den Bereich in drei Klassen:A port is a 16-bit number (0–65535) on layer 4 and addresses a specific application or service within a host. While the IP leads to the right host, the port forwards the packet to the right program — e.g. the web server or the mail server on the same machine. The IANA divides the range into three classes:

Die Kombination aus IP-Adresse und Port heißt Socket und beschreibt einen Kommunikations-Endpunkt eindeutig, z. B. 203.0.113.5:443. Eine Verbindung wird durch zwei Sockets definiert — Quelle und Ziel. Während ein Server typischerweise auf einem festen well-known Port lauscht (etwa 443 für HTTPS), wählt der Client für seine Seite einen freien ephemeren Port aus dem dynamischen Bereich. Genau dadurch kann ein Rechner viele parallele Verbindungen sauber auseinanderhalten.The combination of IP address and port is called a socket and uniquely describes a communication endpoint, e.g. 203.0.113.5:443. A connection is defined by two sockets — source and destination. While a server typically listens on a fixed well-known port (such as 443 for HTTPS), the client picks a free ephemeral port from the dynamic range for its side. This is exactly what lets one machine keep many parallel connections cleanly apart.

VerkehrsartenTraffic types

Praxis-Beispiel: Browser ruft 203.0.113.5:443 aufPractical example: browser calls 203.0.113.5:443

Angenommen, ein PC mit der privaten Adresse 192.168.1.10 öffnet im Browser eine Webseite. Tippt der Nutzer einen Namen ein, löst zunächst DNS diesen in die IP-Adresse 203.0.113.5 auf (Name → IP). Der Browser will eine HTTPS-Verbindung zu 203.0.113.5:443 aufbauen. Folgende Adressen wirken dabei auf den einzelnen Abschnitten:Suppose a PC with the private address 192.168.1.10 opens a web page in the browser. When the user types a name, DNS first resolves it into the IP address 203.0.113.5 (name → IP). The browser wants to open an HTTPS connection to 203.0.113.5:443. The following addresses take effect on each segment:

1. DNS-Auflösung: Der Name wird zu 203.0.113.5 aufgelöst. Der Browser wählt einen freien Quell-Port, z. B. 54321.DNS resolution: the name resolves to 203.0.113.5. The browser picks a free source port, e.g. 54321.
2. ARP im LAN: Der PC kennt die IP des Standard-Gateways (192.168.1.1), aber nicht dessen MAC. Per ARP (IP → MAC, als Broadcast) fragt er sie ab und erhält z. B. AA:BB:CC:00:00:01.ARP in the LAN: the PC knows the default gateway's IP (192.168.1.1) but not its MAC. Via ARP (IP → MAC, as broadcast) it queries and receives e.g. AA:BB:CC:00:00:01.
3. PC → Router: Quell-IP 192.168.1.10, Ziel-IP 203.0.113.5, Quell-Port 54321, Ziel-Port 443. Quell-MAC = PC, Ziel-MAC = Gateway.PC → router: source IP 192.168.1.10, destination IP 203.0.113.5, source port 54321, destination port 443. Source MAC = PC, destination MAC = gateway.
4. NAT am Router: Der Router ersetzt die private Quell-IP durch seine öffentliche Adresse (und ggf. den Port). Ziel-IP und Ziel-Port 443 bleiben unverändert.NAT at the router: the router replaces the private source IP with its public address (and possibly the port). Destination IP and port 443 stay unchanged.
5. Über das Internet: An jedem weiteren Hop werden Quell- und Ziel-MAC erneut ausgetauscht (jeweils nächster Nachbar), die IP-Zieladresse und der Port 443 bleiben dagegen konstant.Across the Internet: at every further hop the source and destination MAC are swapped again (each next neighbour), while the destination IP and port 443 stay constant.
6. Ankunft am Server: 203.0.113.5 empfängt das Paket; Port 443 leitet es an den lauschenden Webserver-Prozess. Der Socket 203.0.113.5:443 ist eindeutig adressiert.Arrival at the server: 203.0.113.5 receives the packet; port 443 hands it to the listening web server process. The socket 203.0.113.5:443 is uniquely addressed.

Selbst nachvollziehenTry it yourself

Ethernet (IEEE 802.3)Ethernet (IEEE 802.3)

Ethernet ist die dominierende Technik für kabelgebundene lokale Netze (LAN) auf der Sicherungsschicht (Layer 2) und definiert Rahmenformat, Adressierung und Übertragung. Aus dem koaxialen Bus der 1980er-Jahre ist eine geswitchte, vollduplexfähige Familie geworden, die heute von 10 Mbit/s bis 400 Gbit/s und darüber reicht.Ethernet is the dominant wired LAN technology at the data link layer (Layer 2), defining frame format, addressing and transmission. From the coaxial bus of the 1980s it has grown into a switched, full-duplex family ranging today from 10 Mbit/s up to 400 Gbit/s and beyond.

Standard und EinordnungStandard and classification

Ethernet wird in der Normenfamilie IEEE 802.3 beschrieben. Es arbeitet auf der Bitübertragungsschicht (Layer 1) und der Sicherungsschicht (Layer 2) des OSI-Modells. Die Sicherungsschicht teilt sich in die Teilschichten MAC (Medienzugriff, Rahmenbildung, Adressierung) und LLC (Logical Link Control, IEEE 802.2) auf. Der ursprüngliche „DIX“-Standard (DEC, Intel, Xerox) lebt im heute überwiegend genutzten Ethernet-II-Rahmenformat weiter.Ethernet is specified by the IEEE 802.3 standards family. It operates at the physical layer (Layer 1) and the data link layer (Layer 2) of the OSI model. The data link layer is split into the MAC (media access, framing, addressing) and LLC (Logical Link Control, IEEE 802.2) sublayers. The original "DIX" standard (DEC, Intel, Xerox) lives on in the Ethernet II frame format that is predominant today.

Aufbau eines Ethernet-FramesStructure of an Ethernet frame

Ein Ethernet-Frame besteht aus festen Feldern. Präambel und SFD dienen der Synchronisation und zählen nicht zum eigentlichen Frame; die Prüfsumme (FCS) sichert die Integrität. Vor jedem Frame liegt zusätzlich eine Inter-Frame Gap (IFG) von mindestens 12 Byte (96 Bitzeiten) als Ruhepause auf dem Medium.An Ethernet frame consists of fixed fields. The preamble and SFD are used for synchronization and do not count toward the frame proper; the checksum (FCS) protects integrity. Before each frame there is also an Inter-Frame Gap (IFG) of at least 12 bytes (96 bit times) as idle time on the medium.

Aus den Feldgrößen ergibt sich die Mindest-Framegröße von 64 Byte (Ziel-MAC bis FCS) und die Maximalgröße von 1518 Byte (ohne Präambel/SFD). Die Untergrenze stammt aus der Kollisionserkennung des klassischen Halbduplex-Ethernets: Ein Frame musste lang genug sein, damit eine Kollision noch während des Sendens erkannt werden konnte. Ist die Nutzlast kürzer als 46 Byte, füllt der Absender mit Padding auf. Frames unter 64 Byte heißen Runts, übergroße fehlerhafte Frames Giants bzw. Jabber.From the field sizes follow the minimum frame size of 64 bytes (destination MAC through FCS) and the maximum size of 1518 bytes (excluding preamble/SFD). The lower bound comes from collision detection in classic half-duplex Ethernet: a frame had to be long enough for a collision to still be detected during transmission. If the payload is shorter than 46 bytes, the sender adds padding. Frames below 64 bytes are called runts, oversized faulty frames giants or jabber.

EtherType-WerteEtherType values

Das EtherType-Feld gibt dem Empfänger an, welches Protokoll der höheren Schicht in den Nutzdaten steckt, damit der Frame an den richtigen Stack übergeben wird.The EtherType field tells the receiver which upper-layer protocol is carried in the payload so that the frame is handed to the correct stack.

MAC-Adressen und Frame-TypenMAC addresses and frame types

Eine MAC-Adresse ist 48 Bit (6 Byte) lang und wird in Hex notiert, z. B. 00:1A:2B:3C:4D:5E. Die ersten 3 Byte bilden die herstellerspezifische OUI (Organizationally Unique Identifier), die letzten 3 Byte vergibt der Hersteller pro Gerät. Zwei Bits im ersten Byte sind besonders: das I/G-Bit (Individual/Group) unterscheidet Unicast von Multicast, das U/L-Bit (Universal/Local) kennzeichnet lokal verwaltete Adressen.A MAC address is 48 bits (6 bytes) long and written in hex, e.g. 00:1A:2B:3C:4D:5E. The first 3 bytes form the vendor-specific OUI (Organizationally Unique Identifier); the vendor assigns the last 3 bytes per device. Two bits in the first byte matter: the I/G bit (individual/group) distinguishes unicast from multicast, and the U/L bit (universal/local) marks locally administered addresses.

• Unicast – ein einzelner Empfänger (I/G-Bit = 0).Unicast – a single receiver (I/G bit = 0).
• Multicast – eine Empfängergruppe (I/G-Bit = 1), z. B. 01:00:5E:xx:xx:xx für IPv4-Multicast.Multicast – a group of receivers (I/G bit = 1), e.g. 01:00:5E:xx:xx:xx for IPv4 multicast.
• Broadcast – alle Stationen, Zieladresse FF:FF:FF:FF:FF:FF.Broadcast – all stations, destination address FF:FF:FF:FF:FF:FF.

Geschwindigkeiten und StandardsSpeeds and standards

Jede Geschwindigkeitsstufe ist als eigener Standard innerhalb von IEEE 802.3 definiert. Die Bezeichnung folgt dem Schema <Rate>BASE-<Medium>: „BASE“ steht für Basisband, der Suffix für das Medium (T = Twisted Pair, X = kodiertes Kupfer/Glas, SR/LR = Short/Long Range Fiber).Each speed grade is defined as its own standard within IEEE 802.3. The naming follows the scheme <rate>BASE-<medium>: "BASE" means baseband, the suffix denotes the medium (T = twisted pair, X = coded copper/fiber, SR/LR = short/long range fiber).

Halb- und Vollduplex, CSMA/CDHalf/full duplex, CSMA/CD

Im Halbduplex kann nur abwechselnd gesendet oder empfangen werden; mehrere Stationen teilen sich das Medium (eine Kollisionsdomäne). Zur Konfliktauflösung diente historisch CSMA/CD (Carrier Sense Multiple Access with Collision Detection): Stationen lauschen vor dem Senden, erkennen Kollisionen, senden ein Jam-Signal und warten eine zufällige Zeit (Binary Exponential Backoff). Im modernen Vollduplex mit Switches besitzt jeder Port eine eigene Kollisionsdomäne – es gibt keine Kollisionen mehr, CSMA/CD ist dort bedeutungslos und Sende- wie Empfangsrichtung laufen gleichzeitig über getrennte Aderpaare.In half duplex a station can only send or receive alternately; multiple stations share the medium (one collision domain). CSMA/CD (Carrier Sense Multiple Access with Collision Detection) historically resolved conflicts: stations listen before sending, detect collisions, send a jam signal and wait a random time (binary exponential backoff). In modern full duplex with switches each port is its own collision domain – there are no collisions, CSMA/CD is irrelevant, and transmit and receive run simultaneously over separate wire pairs.

Auto-Negotiation handelt beim Verbindungsaufbau automatisch Geschwindigkeit und Duplexmodus zwischen den Partnern aus. MDI/MDI-X beschreibt die Belegung der Sende-/Empfangspaare: Früher brauchte man zwischen gleichartigen Geräten ein Crossover-Kabel; heute erkennt Auto-MDIX die Belegung selbst und vertauscht die Paare bei Bedarf, sodass ein einfaches Patchkabel (Straight-Through) überall passt.Auto-negotiation automatically negotiates speed and duplex mode between partners during link bring-up. MDI/MDI-X describes the assignment of transmit/receive pairs: previously a crossover cable was needed between like devices; today Auto-MDIX detects the wiring itself and swaps pairs as needed, so a plain straight-through patch cable works everywhere.

VLAN-Tag (802.1Q)VLAN tag (802.1Q)

Für virtuelle LANs schiebt IEEE 802.1Q ein 4 Byte langes Tag zwischen Quell-MAC und EtherType. Es beginnt mit dem TPID 0x8100 und enthält neben der 12-Bit VLAN-ID (1–4094) ein 3-Bit-Prioritätsfeld (PCP, IEEE 802.1p) für Quality of Service. Durch die zusätzlichen 4 Byte wächst die maximale Framegröße von 1518 auf 1522 Byte.For virtual LANs IEEE 802.1Q inserts a 4-byte tag between source MAC and EtherType. It starts with TPID 0x8100 and, besides the 12-bit VLAN ID (1–4094), contains a 3-bit priority field (PCP, IEEE 802.1p) for quality of service. The extra 4 bytes raise the maximum frame size from 1518 to 1522 bytes.

Jumbo Frames und MTUJumbo frames and MTU

Die Standard-Nutzlast (MTU) beträgt 1500 Byte. Jumbo Frames erweitern die Nutzlast auf typischerweise 9000 Byte und reduzieren so den Overhead pro Byte – nützlich bei iSCSI, NFS, Backups und in Rechenzentren. Voraussetzung: Alle Geräte auf dem Pfad (NICs, Switches) müssen einheitlich auf dieselbe Jumbo-MTU konfiguriert sein, sonst werden Frames verworfen oder fragmentiert. Mit VLAN-Tag steigt die Bruttogröße entsprechend um 4 Byte.The standard payload (MTU) is 1500 bytes. Jumbo frames extend the payload to typically 9000 bytes, reducing per-byte overhead – useful for iSCSI, NFS, backups and in data centers. Prerequisite: every device along the path (NICs, switches) must be configured to the same jumbo MTU consistently, otherwise frames are dropped or fragmented. With a VLAN tag the gross size grows by 4 bytes accordingly.

Medien und KabelMedia and cabling

• Cat5e – Twisted-Pair bis 1 Gbit/s, häufig im Bestand.Cat5e – twisted pair up to 1 Gbit/s, common in existing installs.
• Cat6 / Cat6a – bis 10 Gbit/s (Cat6 nur auf kürzeren Strecken bis 55 m, Cat6a bis 100 m), bessere Schirmung.Cat6 / Cat6a – up to 10 Gbit/s (Cat6 only over shorter runs up to 55 m, Cat6a up to 100 m), better shielding.
• Cat7 / Cat8 – für 25/40 Gbit/s über Kupfer auf kurzen Strecken (Cat8 bis 30 m), v. a. im Rechenzentrum.Cat7 / Cat8 – for 25/40 Gbit/s over copper on short runs (Cat8 up to 30 m), mainly in the data center.
• Glasfaser – Multimode (OM3/OM4, kurze Distanzen) und Singlemode (OS2, viele Kilometer) für hohe Bandbreiten, immun gegen elektromagnetische Störungen und galvanisch entkoppelt.Fiber optic – multimode (OM3/OM4, short distances) and single-mode (OS2, many kilometers) for high bandwidth, immune to electromagnetic interference and galvanically isolated.
• DAC/Twinax – kurze Direct-Attach-Kupferkabel mit SFP+/QSFP-Steckern, günstig im Rack.DAC/twinax – short direct-attach copper cables with SFP+/QSFP connectors, cheap within the rack.

Power over Ethernet (PoE)Power over Ethernet (PoE)

PoE überträgt zusätzlich zur Datenverbindung elektrische Leistung über dasselbe Twisted-Pair-Kabel – ideal für Access Points, IP-Telefone, Kameras und IoT-Geräte ohne separate Stromversorgung.PoE delivers electrical power over the same twisted-pair cable in addition to the data link – ideal for access points, IP phones, cameras and IoT devices without separate power supplies.

Switching-GrundlagenSwitching basics

Ein Switch lernt anhand der Quell-MAC eingehender Frames, an welchem Port welche Station hängt, und trägt dies in die MAC-Adresstabelle (CAM) ein. Bekannte Ziele werden gezielt weitergeleitet, unbekannte Unicasts sowie Broadcasts und Multicasts geflutet. Alle Ports eines Switches bilden eine gemeinsame Broadcast-Domäne (sofern keine VLANs trennen), aber jeweils eigene Kollisionsdomänen. Gegen Schleifen in redundanten Topologien schützt das Spanning Tree Protocol (STP / RSTP, IEEE 802.1D/1w).A switch learns from the source MAC of incoming frames which station is on which port and records this in the MAC address table (CAM). Known destinations are forwarded selectively; unknown unicasts as well as broadcasts and multicasts are flooded. All ports of a switch form one shared broadcast domain (unless VLANs separate them) but each its own collision domain. The Spanning Tree Protocol (STP / RSTP, IEEE 802.1D/1w) protects against loops in redundant topologies.

ÜbertragungsmedienTransmission media

Auf der untersten Schicht des OSI-Modells (Layer 1, Bitübertragung) werden Daten als physikalische Signale übertragen — als elektrische Spannung auf Kupfer, als Lichtimpuls in Glasfaser oder als Funkwelle in der Luft. Das gewählte Übertragungsmedium bestimmt maßgeblich, wie schnell, wie weit und wie störungssicher ein Netzwerk arbeiten kann.At the lowest layer of the OSI model (layer 1, the physical layer) data travels as physical signals — as electrical voltage on copper, as pulses of light in fiber, or as radio waves through the air. The transmission medium you choose largely determines how fast, how far and how reliably a network can operate.

Überblick: drei MedienartenOverview: three classes of media

Übertragungsmedien lassen sich in drei Gruppen einteilen. Jede hat ein typisches Einsatzgebiet, von der kurzen Patch-Verbindung im Schrank bis zur transkontinentalen Backbone-Strecke.Transmission media fall into three groups. Each has a typical area of use, from the short patch link inside the rack to the transcontinental backbone route.

• Kupfer (Twisted Pair, Koax): elektrische Signale; günstig, leicht zu konfektionieren, aber begrenzte Reichweite und störanfällig.Copper (twisted pair, coax): electrical signals; cheap, easy to terminate, but limited reach and susceptible to interference.
• Glasfaser (LWL): Lichtsignale; enorme Bandbreite, große Reichweite, immun gegen elektromagnetische Störungen.Fiber optics: optical signals; enormous bandwidth, long reach, immune to electromagnetic interference.
• Funk (WLAN, Mobilfunk): Funkwellen als drahtloses Medium; flexibel und mobil, aber gemeinsam genutzt und abhörbar.Radio (Wi-Fi, cellular): radio waves as a wireless medium; flexible and mobile, but shared and easy to eavesdrop on.

Wichtige BegriffeKey terms

Vier Eigenschaften tauchen bei jedem Medium wieder auf. Wer sie versteht, kann die Eignung eines Kabels oder Funkkanals für eine Strecke beurteilen.Four properties recur with every medium. Understanding them lets you judge whether a cable or radio channel suits a given link.

• Bandbreite: die nutzbare Frequenzbreite bzw. die daraus folgende maximale Datenrate (oft in MHz für das Medium und in Mbit/s bzw. Gbit/s für die Nutzlast angegeben).Bandwidth: the usable frequency range, and the resulting maximum data rate (often given in MHz for the medium and in Mbit/s or Gbit/s for the payload).
• Dämpfung (Attenuation): die Abschwächung des Signals über die Strecke. Sie wächst mit Länge und Frequenz und begrenzt die maximale Kabellänge.Attenuation: the weakening of the signal along the path. It grows with length and frequency and caps the maximum cable length.
• Übersprechen (Crosstalk): das ungewollte Überkoppeln eines Signals von einem Adernpaar auf ein benachbartes. Verdrillung und Schirmung verringern es.Crosstalk: the unwanted coupling of a signal from one wire pair onto an adjacent one. Twisting and shielding reduce it.
• EMV (elektromagnetische Verträglichkeit): wie empfindlich ein Medium gegen äußere Störfelder (Motoren, Leuchtstoffröhren, Stromleitungen) ist — und wie stark es selbst abstrahlt.EMC (electromagnetic compatibility): how sensitive a medium is to external interference fields (motors, fluorescent tubes, power lines) — and how much it radiates itself.

Kupfer: Twisted PairCopper: twisted pair

Das mit Abstand häufigste LAN-Kabel ist Twisted Pair. Es besteht aus vier paarweise verdrillten Adern. Die Verdrillung sorgt dafür, dass Störungen beide Adern eines Paares gleich treffen und sich am Empfänger durch die Differenzbildung aufheben — das senkt Übersprechen und Einstreuungen deutlich.By far the most common LAN cable is twisted pair. It consists of four pairs of wires twisted around each other. The twisting ensures that interference hits both wires of a pair equally and cancels out at the receiver through differential signaling — which markedly lowers crosstalk and induced noise.

UTP gegen STPUTP versus STP

• UTP (Unshielded Twisted Pair): ohne Schirm, nur die Verdrillung schützt. Günstig, dünn und flexibel — Standard in vielen Büroinstallationen.UTP (unshielded twisted pair): no shield, only the twisting protects. Cheap, thin and flexible — standard in many office installations.
• STP / S/FTP (Shielded Twisted Pair): zusätzliche Schirmung je Paar und/oder ums Gesamtbündel (Folie, Geflecht). Besserer EMV-Schutz, nötig in industriellen oder störreichen Umgebungen, aber teurer und steifer; die Schirmung muss korrekt geerdet sein.STP / S/FTP (shielded twisted pair): additional shielding per pair and/or around the whole bundle (foil, braid). Better EMC protection, needed in industrial or noisy environments, but more expensive and stiffer; the shield must be properly grounded.

Kategorien (Cat)Categories (Cat)

Twisted-Pair-Kabel werden in Kategorien eingeteilt, die Bandbreite (Frequenz) und damit die maximale Datenrate festlegen. Die Reichweite gilt jeweils für 100 m, sofern nicht anders angegeben.Twisted-pair cables are classified into categories that define bandwidth (frequency) and thus the maximum data rate. The reach applies to 100 m unless noted otherwise.

RJ45-SteckerRJ45 connector

Twisted-Pair-Kabel enden im Netzwerkbereich fast immer in einem RJ45-Stecker (8P8C, acht Kontakte). Die acht Adern werden nach einer festen Belegung sortiert — gängig ist T568B, seltener T568A. Wichtig ist nur, dass beide Enden derselben Norm folgen.In networking, twisted-pair cables almost always end in an RJ45 plug (8P8C, eight contacts). The eight wires are arranged in a fixed pinout — T568B is common, T568A less so. What matters is that both ends follow the same standard.

Straight-Through gegen CrossoverStraight-through versus crossover

• Straight-Through (1:1): beide Enden gleich belegt (z. B. B–B). Verbindet unterschiedliche Gerätetypen, etwa PC an Switch.Straight-through (1:1): both ends wired identically (e.g. B–B). Connects unlike device types, such as PC to switch.
• Crossover: Sende- und Empfangspaare gekreuzt (A–B). Verband früher gleichartige Geräte (PC–PC, Switch–Switch).Crossover: transmit and receive pairs swapped (A–B). It used to connect like devices (PC–PC, switch–switch).

Moderne Ports erkennen die Belegung dank Auto-MDI/MDI-X selbst und kreuzen bei Bedarf intern. Crossover-Kabel sind dadurch in der Praxis kaum noch nötig.Modern ports detect the wiring themselves thanks to Auto-MDI/MDI-X and cross over internally when needed. As a result, crossover cables are rarely necessary in practice anymore.

KoaxialkabelCoaxial cable

Koaxialkabel hat einen Innenleiter, der von einer Isolierung, einem Schirmgeflecht und einem Mantel umgeben ist. In frühen Ethernet-Netzen (10BASE2 „Thinnet", 10BASE5 „Thicknet") war es das Standardmedium, wurde dort aber von Twisted Pair verdrängt. Heute begegnet es uns vor allem bei Kabel-Internet (DOCSIS), Antennen- und SAT-Anlagen. Vorteil ist der gute Schirm gegen Störungen; Nachteil sind Steifigkeit und der bus- statt sternförmige Aufbau in alten LANs.Coaxial cable has an inner conductor surrounded by insulation, a braided shield and an outer jacket. In early Ethernet networks (10BASE2 "Thinnet", 10BASE5 "Thicknet") it was the standard medium, but twisted pair displaced it there. Today we mostly meet it in cable internet (DOCSIS), antenna and satellite installations. Its strength is good shielding against interference; its drawbacks are stiffness and the bus rather than star topology used in old LANs.

Glasfaser (Lichtwellenleiter)Fiber optics (optical fiber)

In der Glasfaser werden Daten als Lichtimpulse durch einen hauchdünnen Glaskern geleitet, der von einem Mantel (Cladding) mit anderem Brechungsindex umgeben ist. Durch Totalreflexion bleibt das Licht im Kern. Weil keine elektrischen Signale fließen, ist Glasfaser völlig immun gegen elektromagnetische Störungen, strahlt selbst nichts ab und überbrückt große Entfernungen mit geringer Dämpfung.In an optical fiber, data travels as pulses of light through an ultra-thin glass core surrounded by a cladding with a different refractive index. Total internal reflection keeps the light inside the core. Because no electrical signals flow, fiber is completely immune to electromagnetic interference, radiates nothing itself and spans long distances with very low attenuation.

Singlemode gegen MultimodeSingle-mode versus multimode

Der entscheidende Unterschied liegt im Kerndurchmesser. Ein dünner Kern lässt nur einen Lichtweg (Mode) zu, ein dickerer Kern viele.The decisive difference is the core diameter. A thin core allows only a single light path (mode), a thicker core allows many.

Bei Multimode begrenzt die Modendispersion die Reichweite: Die vielen Lichtwege sind unterschiedlich lang, sodass der Impuls auf langer Strecke „verschmiert". Singlemode kennt dieses Problem praktisch nicht und erreicht dadurch viel größere Distanzen.With multimode, modal dispersion limits the reach: the many light paths have different lengths, so the pulse "smears" over long distances. Single-mode essentially avoids this problem and therefore reaches far greater distances.

SteckerConnectors

• LC: kleiner Push-Pull-Stecker (Small Form-Factor), heute der Standard an SFP-Modulen und in Patchfeldern.LC: small push-pull connector (small form-factor), today the standard on SFP modules and in patch panels.
• SC: größerer quadratischer Steck-/Rast-Stecker, verbreitet bei FTTH und älteren Installationen.SC: larger square push-on connector, common in FTTH and older installations.

Daneben gibt es ST, MPO/MTP (für Hochdichte-Bündel) und weitere. Steckverbinder werden poliert (PC/UPC oder schräg APC) — APC-Stecker sind an der grünen Hülse erkennbar und reduzieren Rückreflexionen.There are also ST, MPO/MTP (for high-density bundles) and others. Connectors are polished (PC/UPC or angled APC) — APC connectors are recognizable by their green housing and reduce back reflections.

Vorteile der GlasfaserAdvantages of fiber

• Bandbreite: riesige nutzbare Frequenzbreite, mehrere Wellenlängen parallel (WDM) — von 1 Gbit/s bis weit über 100 Gbit/s.Bandwidth: huge usable frequency range, several wavelengths in parallel (WDM) — from 1 Gbit/s to well above 100 Gbit/s.
• EMV: völlig unempfindlich gegen elektromagnetische Störfelder und keine eigene Abstrahlung; abhörsicherer als Kupfer.EMC: completely immune to electromagnetic interference and emits nothing itself; harder to tap than copper.
• Reichweite: geringe Dämpfung erlaubt Strecken von Kilometern bis Hunderten Kilometern ohne Verstärkung.Reach: low attenuation allows runs of kilometers up to hundreds of kilometers without amplification.
• Galvanische Trennung: keine elektrische Verbindung zwischen den Gebäuden — kein Risiko durch Potenzialunterschiede oder Blitzeinkopplung.Galvanic isolation: no electrical connection between buildings — no risk from potential differences or lightning coupling.

Funk als drahtloses MediumRadio as a wireless medium

Beim Funk ist das „Kabel" die Luft: Daten werden als elektromagnetische Wellen auf bestimmten Frequenzbändern (z. B. 2,4 GHz, 5 GHz, 6 GHz) übertragen. Das Medium ist geteilt — alle Teilnehmer einer Funkzelle nutzen denselben Kanal und müssen sich abwechseln. Vorteile sind Mobilität und einfache Erschließung; Nachteile sind schwankende Reichweite, Störungen durch Hindernisse und andere Sender sowie die leichte Abhörbarkeit, weshalb Verschlüsselung Pflicht ist. Details zu Standards, Kanälen und Sicherheit findest du im Artikel WLANWi-Fi.With radio the "cable" is the air: data is transmitted as electromagnetic waves on certain frequency bands (e.g. 2.4 GHz, 5 GHz, 6 GHz). The medium is shared — all members of a radio cell use the same channel and must take turns. The benefits are mobility and easy coverage; the drawbacks are fluctuating range, interference from obstacles and other transmitters, and easy eavesdropping, which is why encryption is mandatory. For details on standards, channels and security see the WLANWi-Fi article.

Übersicht: Medien im VergleichOverview: media compared

Auswahl in der PraxisChoosing in practice

Die Wahl des Mediums folgt der Strecke und der Umgebung: kurze Etagenverkabelung mit Cat6a-Kupfer, Steigleitungen und Verbindungen zwischen Gebäuden mit Glasfaser, mobile Endgeräte über WLAN. So bleibt jedes Segment im Rahmen seiner Reichweite und Störsicherheit.The choice of medium follows the distance and the environment: short floor cabling with Cat6a copper, risers and inter-building links with fiber, mobile devices over Wi-Fi. That keeps each segment within its reach and noise tolerance.

Lichtwellenleiter (LWL)Fiber optics (LWL)

Ein Lichtwellenleiter überträgt Daten als Lichtimpulse durch eine hauchdünne Glasfaser. Er ist heute das Rückgrat schneller und weiter Verbindungen — vom Rechenzentrum über den Campus bis zum interkontinentalen Seekabel. Dieser Artikel erklärt Aufbau, Funktionsweise, Faser- und Steckertypen, Wellenlängen, Dämpfung sowie die Transceiver- und Messtechnik.An optical fiber transmits data as pulses of light through an ultra-thin strand of glass. Today it is the backbone of fast, long-distance links — from the data center across the campus to intercontinental submarine cables. This article explains construction, operation, fiber and connector types, wavelengths, attenuation, plus transceiver and measurement technology.

Aufbau einer GlasfaserConstruction of an optical fiber

Eine Faser besteht aus mehreren konzentrischen Schichten. Lichtführend sind nur Kern und Mantel; die übrigen Lagen schützen mechanisch.A fiber consists of several concentric layers. Only the core and cladding guide light; the remaining layers provide mechanical protection.

• Kern (Core): der lichtführende Glaskern mit höherem Brechungsindex, je nach Typ ~9 µm (Singlemode) oder 50/62,5 µm (Multimode) dünn.Core: the light-guiding glass core with a higher refractive index, ~9 µm (single-mode) or 50/62.5 µm (multimode) thin depending on type.
• Mantel (Cladding): umgibt den Kern mit niedrigerem Brechungsindex und hält das Licht durch Totalreflexion im Kern. Standard-Außenmaß: 125 µm.Cladding: surrounds the core with a lower refractive index and keeps light inside via total internal reflection. Standard outer diameter: 125 µm.
• Coating / Buffer: eine Kunststoffbeschichtung direkt auf dem Mantel, die die Faser vor Feuchtigkeit und Mikrorissen schützt.Coating / buffer: a plastic layer directly on the cladding protecting the fiber from moisture and micro-cracks.
• Schutzmantel (Jacket): äußere Hülle des Kabels, oft mit Zugentlastung (Aramid/Kevlar) gegen Zugkräfte.Jacket: the cable's outer sheath, often with strain relief (aramid/Kevlar) against tensile forces.

Funktionsweise: TotalreflexionHow it works: total internal reflection

Weil der Kern einen höheren Brechungsindex hat als der Mantel, wird Licht, das flach genug auf die Grenzschicht trifft, vollständig zurück in den Kern reflektiert (Totalreflexion). So „springt" der Lichtstrahl entlang der Faser, ohne nennenswert auszutreten. Eine elektrische Signalübertragung findet nicht statt — daher ist die Faser immun gegen elektromagnetische Störungen und strahlt selbst nichts ab.Because the core has a higher refractive index than the cladding, light hitting the boundary at a shallow enough angle is reflected entirely back into the core (total internal reflection). The light beam thus "bounces" along the fiber without escaping appreciably. No electrical signal is involved — so the fiber is immune to electromagnetic interference and radiates nothing itself.

Fasertypen: Singlemode und MultimodeFiber types: single-mode and multimode

Der Kerndurchmesser entscheidet, wie viele Lichtwege (Moden) möglich sind. Singlemode (OS) hat einen sehr dünnen Kern und nur einen Mode — höchste Reichweite. Multimode (OM) hat einen dickeren Kern mit vielen Moden — günstigere Optik, aber durch Modendispersion begrenzte Distanz. Die Klassen sind genormt:The core diameter determines how many light paths (modes) are possible. Single-mode (OS) has a very thin core and only one mode — the greatest reach. Multimode (OM) has a thicker core with many modes — cheaper optics, but distance limited by modal dispersion. The classes are standardized:

Tipp: Fasertyp antippen für Details.Tip: tap a fiber type for details.

Wellenlängen und optische FensterWavelengths and optical windows

Licht wird nicht im sichtbaren Bereich, sondern im Infrarot übertragen — dort, wo Glas besonders durchlässig ist. Diese Bereiche heißen optische Fenster: 850 nm (Multimode, kurze Strecken), 1310 nm (geringe Dispersion) und 1550 nm (niedrigste Dämpfung, große Reichweite, Verstärkung per EDFA möglich). Über WDM (Wavelength Division Multiplexing) lassen sich viele Wellenlängen parallel über eine einzige Faser führen und so deren Kapazität vervielfachen.Light is transmitted in the infrared rather than the visible range — where glass is especially transparent. These ranges are the optical windows: 850 nm (multimode, short runs), 1310 nm (low dispersion) and 1550 nm (lowest attenuation, long reach, amplifiable via EDFA). Using WDM (wavelength division multiplexing) many wavelengths run in parallel over a single fiber, multiplying its capacity.

Dämpfung und DispersionAttenuation and dispersion

Die Dämpfung (in dB/km) gibt an, wie stark das Signal pro Kilometer schwächer wird — bei 1550 nm liegt sie bei nur etwa 0,2 dB/km. Hinzu kommen Verluste an Steckern und Spleißen. Für eine Strecke rechnet man ein Dämpfungsbudget: Sendeleistung minus aller Verluste muss über der Empfängerempfindlichkeit bleiben. Die Dispersion verbreitert die Lichtimpulse mit der Distanz und begrenzt so die maximale Bitrate über lange Strecken (modal bei Multimode, chromatisch bei Singlemode).The attenuation (in dB/km) states how much the signal weakens per kilometer — at 1550 nm it is only about 0.2 dB/km. Added to this are losses at connectors and splices. For a link you calculate a power budget: transmit power minus all losses must stay above the receiver sensitivity. Dispersion broadens the light pulses with distance and thus limits the maximum bit rate over long runs (modal in multimode, chromatic in single-mode).

SteckertypenConnector types

Tipp: Stecker antippen für Details.Tip: tap a connector for details.

Stirnflächen werden poliert: PC/UPC (gerade) oder APC (8° schräg). APC-Stecker sind an der grünen Hülse erkennbar und reduzieren Rückreflexionen — sie dürfen nicht mit UPC gemischt werden.End faces are polished: PC/UPC (flat) or APC (8° angled). APC connectors are recognizable by their green housing and reduce back reflections — they must not be mixed with UPC.

Transceiver und ModuleTransceivers and modules

Ein Gerät wandelt elektrische Signale über ein steckbares Transceiver-Modul in Licht und zurück. Verbreitet sind SFP (1 Gbit/s), SFP+ (10 Gbit/s), SFP28 (25 Gbit/s) und QSFP+/QSFP28 (40/100 Gbit/s); der ältere GBIC ist der große Vorgänger. Das Modul bestimmt Faserart, Wellenlänge und Reichweite (z. B. 10GBASE-LR für 10 km Singlemode). BiDi-Module nutzen je eine Wellenlänge pro Richtung und kommen so mit einer einzigen Faser aus.A device converts electrical signals to light and back via a pluggable transceiver module. Common form factors are SFP (1 Gbit/s), SFP+ (10 Gbit/s), SFP28 (25 Gbit/s) and QSFP+/QSFP28 (40/100 Gbit/s); the older GBIC is the large predecessor. The module determines fiber type, wavelength and reach (e.g. 10GBASE-LR for 10 km single-mode). BiDi modules use one wavelength per direction and thus need only a single fiber.

Vorteile und GrenzenAdvantages and limits

• + Bandbreite: riesige Kapazität, mehrere Wellenlängen parallel (WDM) — von 1 bis weit über 100 Gbit/s.+ Bandwidth: huge capacity, several wavelengths in parallel (WDM) — from 1 to well above 100 Gbit/s.
• + Reichweite & EMV: sehr geringe Dämpfung, immun gegen Störfelder, keine eigene Abstrahlung, abhörsicherer als Kupfer, galvanisch getrennt.+ Reach & EMC: very low attenuation, immune to interference, no emission, harder to tap than copper, galvanically isolated.
• − Handhabung: empfindlich gegen enge Biegeradien, Schmutz an den Stirnflächen und Zug; Spleißen und Messen erfordern Spezialwerkzeug.− Handling: sensitive to tight bend radii, dirt on end faces and tension; splicing and measuring need special tools.
• − Kosten: Optik und Werkzeug sind teurer als bei Kupfer, lohnen sich aber bei Tempo und Distanz.− Cost: optics and tools cost more than copper, but pay off for speed and distance.

Verlegung, Messung und PflegeInstallation, measurement and care

• Biegeradius: den minimalen Biegeradius einhalten — zu enge Biegungen führen zu Makrobiegeverlusten oder Faserbruch.Bend radius: respect the minimum bend radius — overly tight bends cause macrobend loss or fiber breakage.
• Sauberkeit: Stirnflächen vor dem Stecken reinigen und inspizieren; ein einziges Staubkorn kann die Verbindung stören.Cleanliness: clean and inspect end faces before mating; a single speck of dust can disrupt the link.
• Messung: Dämpfung mit Lichtquelle und Leistungsmesser prüfen; ein OTDR ortet zusätzlich Spleiße, Stecker und Faserbrüche entlang der Strecke.Measurement: check attenuation with a light source and power meter; an OTDR additionally locates splices, connectors and breaks along the run.
• Sicherheit: nie in eine aktive Faser blicken — unsichtbares Laserlicht kann das Auge schädigen.Safety: never look into an active fiber — invisible laser light can damage the eye.

MAC-AdressenMAC addresses

Die MAC-Adresse ist die 48 Bit lange Hardwareadresse einer Netzwerkschnittstelle und identifiziert Geräte innerhalb einer Layer-2-Domäne. Sie arbeitet auf der Sicherungsschicht (Layer 2) und ist die Basis dafür, dass Switches Frames im lokalen Netz zustellen können.The MAC address is the 48-bit hardware address of a network interface and identifies devices within a Layer 2 domain. It operates on the data link layer (Layer 2) and is the basis on which switches deliver frames inside the local network.

Wozu dient eine MAC-Adresse?What is a MAC address for?

Während die IP-Adresse auf Layer 3 die logische Erreichbarkeit über Netzgrenzen hinweg regelt, adressiert die MAC-Adresse auf Layer 2 die konkrete Schnittstelle im selben Segment. Innerhalb eines Subnetzes lösen ARP (IPv4) bzw. Neighbor Discovery (IPv6) die Ziel-IP in eine Ziel-MAC auf; erst damit kann ein Ethernet- oder WLAN-Frame physisch zugestellt werden.While the IP address on Layer 3 governs logical reachability across network boundaries, the MAC address on Layer 2 addresses the concrete interface within the same segment. Inside a subnet, ARP (IPv4) or Neighbor Discovery (IPv6) resolves the destination IP into a destination MAC; only then can an Ethernet or Wi-Fi frame be physically delivered.

• Switch-Forwarding: Switches lernen, hinter welchem Port welche MAC liegt, und tragen das in die MAC-Adresstabelle (CAM/FDB) ein.Switch forwarding: switches learn which MAC lives behind which port and store this in the MAC address table (CAM/FDB).
• Lokale Zustellung: Frames innerhalb eines VLANs/Segments werden anhand der Ziel-MAC weitergeleitet.Local delivery: frames within a VLAN/segment are forwarded based on the destination MAC.
• Identifikation: DHCP-Reservierungen, MAC-Filter und Monitoring stützen sich auf die MAC.Identification: DHCP reservations, MAC filters and monitoring rely on the MAC.

Aufbau: 48 BitStructure: 48 bits

Eine MAC-Adresse umfasst 48 Bit (6 Byte) und teilt sich in zwei Hälften: die ersten 24 Bit bilden die OUI (Organizationally Unique Identifier), die von der IEEE an Hersteller vergeben wird. Die letzten 24 Bit sind der geräteindividuelle Teil (oft NIC-Teil genannt), den der Hersteller fortlaufend vergibt. Aus den ersten drei Byte lässt sich daher der Hersteller einer Schnittstelle ablesen.A MAC address comprises 48 bits (6 bytes) and splits into two halves: the first 24 bits form the OUI (Organizationally Unique Identifier) assigned by the IEEE to vendors. The last 24 bits are the device-specific part (often called the NIC part), assigned sequentially by the vendor. The first three bytes therefore reveal the vendor of an interface.

Im Beispiel 00:1A:2B:3C:4D:5E ist 00:1A:2B die OUI und 3C:4D:5E der geräteindividuelle Teil. Theoretisch lassen sich pro OUI rund 16,7 Millionen (2^24) Adressen vergeben.In the example 00:1A:2B:3C:4D:5E, 00:1A:2B is the OUI and 3C:4D:5E is the device-specific part. Each OUI can theoretically address roughly 16.7 million (2^24) devices.

Hersteller am OUI erkennenIdentifying the vendor from the OUI

Die IEEE führt ein öffentliches Register aller vergebenen OUIs. Werkzeuge und Webseiten gleichen die ersten drei Byte mit diesem Register ab und zeigen den Hersteller an. Einige bekannte Beispiele:The IEEE maintains a public registry of all assigned OUIs. Tools and websites match the first three bytes against this registry and display the vendor. Some well-known examples:

SchreibweisenNotations

MAC-Adressen werden hexadezimal dargestellt (12 Hex-Zeichen = 6 Byte). Gängige Trennzeichen sind Doppelpunkte, Bindestriche oder Punkte:MAC addresses are written in hexadecimal (12 hex digits = 6 bytes). Common separators are colons, hyphens or dots:

• Doppelpunkt (Unix/Linux): 00:1A:2B:3C:4D:5EColon (Unix/Linux): 00:1A:2B:3C:4D:5E
• Bindestrich (Windows): 00-1A-2B-3C-4D-5EHyphen (Windows): 00-1A-2B-3C-4D-5E
• Cisco-Punktnotation: 001A.2B3C.4D5ECisco dotted notation: 001A.2B3C.4D5E

Groß- und Kleinschreibung der Hex-Zeichen ist gleichwertig (0a = 0A); Werkzeuge normalisieren die Darstellung meist auf eine Variante.Upper- and lowercase hex digits are equivalent (0a = 0A); tools usually normalise the display to one variant.

Das erste Oktett: I/G-Bit und U/L-BitThe first octet: I/G bit and U/L bit

Das erste Byte einer MAC-Adresse trägt zwei Steuerbits, die ihre Bedeutung festlegen. Beide stecken in den niederwertigsten Bits des ersten Oktetts:The first byte of a MAC address carries two control bits that define its meaning. Both sit in the least significant bits of the first octet:

Konkret am ersten Oktett: schreibt man es binär als xxxx xxBA, ist A das I/G-Bit und B das U/L-Bit. Die vier möglichen Kombinationen für das niederwertige Halbbyte:Concretely, write the first octet in binary as xxxx xxBA: A is the I/G bit and B is the U/L bit. The four combinations of the low bits:

Praktischer Lesetrick: Da das I/G-Bit das niederwertigste Bit ist, entscheidet das zweite Hex-Zeichen des ersten Oktetts. Ist es gerade (0,2,4,6,8,A,C,E) → Unicast; ist es ungerade (1,3,5,7,9,B,D,F) → Multicast.Handy reading trick: since the I/G bit is the least significant bit, the second hex digit of the first octet decides. If it is even (0,2,4,6,8,A,C,E) → unicast; if it is odd (1,3,5,7,9,B,D,F) → multicast.

SonderadressenSpecial addresses

Neben regulären Unicast-Adressen gibt es reservierte Adressen und Präfixe mit fester Bedeutung:Besides regular unicast addresses, there are reserved addresses and prefixes with a fixed meaning:

Beispiel IPv4-Multicast: Die Gruppe 224.0.0.251 (mDNS) wird auf die MAC 01:00:5E:00:00:FB abgebildet. Beispiel IPv6: Die Solicited-Node-Multicast-Adresse ff02::1:ff3c:4d5e wird auf 33:33:FF:3C:4D:5E abgebildet.IPv4 multicast example: the group 224.0.0.251 (mDNS) maps to MAC 01:00:5E:00:00:FB. IPv6 example: the solicited-node multicast address ff02::1:ff3c:4d5e maps to 33:33:FF:3C:4D:5E.

MAC-RandomisierungMAC randomization

Moderne Betriebssysteme (Android 10+, iOS 14+, Windows 10/11) verwenden standardmäßig zufällige MAC-Adressen im WLAN – oft eine eigene MAC pro SSID. Ziel ist Privatsphäre: Ohne feste MAC lässt sich ein Gerät nicht mehr netzübergreifend wiedererkennen und über Funknetze hinweg verfolgen. Randomisierte Adressen haben das U/L-Bit gesetzt (lokal verwaltet) und das I/G-Bit auf 0 (Unicast).Modern operating systems (Android 10+, iOS 14+, Windows 10/11) use random MAC addresses on Wi-Fi by default – often a separate MAC per SSID. The goal is privacy: without a fixed MAC, a device can no longer be re-identified across networks and tracked across Wi-Fi networks. Randomized addresses have the U/L bit set (locally administered) and the I/G bit at 0 (unicast).

Folgen für den Betrieb:Operational consequences:

• MAC-Filter und MAC-basierte Zugangskontrolle werden unzuverlässig, weil sich die Adresse ändert.MAC filters and MAC-based access control become unreliable because the address changes.
• DHCP-Reservierungen auf MAC greifen nicht mehr – das Gerät bekommt wechselnde Leases.DHCP reservations by MAC no longer match – the device gets changing leases.
• Captive Portals erkennen wiederkehrende Nutzer schlechter; Sitzungen müssen ggf. neu bestätigt werden.Captive portals recognise returning users less well; sessions may need to be re-confirmed.
• Analyse/Tracking per MAC (z. B. Besucherzählung) wird erschwert – genau das ist gewollt.Analytics/tracking by MAC (e.g. visitor counting) is impeded – which is exactly the intent.

Im eigenen, vertrauenswürdigen Netz kann die Randomisierung pro SSID deaktiviert werden, damit Reservierungen und Filter wieder stabil funktionieren.In your own, trusted network, randomization can be disabled per SSID so that reservations and filters work stably again.

MAC-SpoofingMAC spoofing

Beim MAC-Spoofing setzt man die MAC einer Schnittstelle softwareseitig auf einen frei gewählten Wert. Die ab Werk gebrannte (Burned-in) Adresse bleibt erhalten, das Betriebssystem meldet aber die überschriebene MAC. Unter Linux z. B. mit ip link set dev eth0 address 02:11:22:33:44:55 oder dem Werkzeug macchanger; Windows bietet die Option im Treiber unter „Netzwerkadresse“.With MAC spoofing, the MAC of an interface is set to an arbitrary value in software. The factory-burned (burned-in) address is preserved, but the operating system reports the overridden MAC. On Linux, for example, with ip link set dev eth0 address 02:11:22:33:44:55 or the tool macchanger; Windows offers the option in the driver under "Network Address".

EUI-64: von 48 Bit zur IPv6-Interface-IDEUI-64: from 48 bits to an IPv6 interface ID

IPv6 kann über SLAAC (Stateless Address Autoconfiguration) eine Adresse selbst bilden. Dazu wird die 48-Bit-MAC nach dem Verfahren modified EUI-64 zu einer 64-Bit-Interface-ID erweitert. Die drei Schritte:IPv6 can form an address itself via SLAAC (Stateless Address Autoconfiguration). For this, the 48-bit MAC is expanded into a 64-bit interface ID using the modified EUI-64 procedure. The three steps:

1. MAC in der Mitte teilen und FF:FE zwischen OUI und Geräteteil einfügen (48 → 64 Bit).Split the MAC in the middle and insert FF:FE between OUI and device part (48 → 64 bits).
2. Das U/L-Bit (zweitniedrigstes Bit des ersten Oktetts) invertieren: aus universell (0) wird im EUI-64-Kontext 1.Invert the U/L bit (second-lowest bit of the first octet): a universal 0 becomes 1 in the EUI-64 context.
3. Ergebnis ist die 64-Bit-Interface-ID, die hinter das /64-Präfix gesetzt wird.The result is the 64-bit interface ID, which is placed after the /64 prefix.

Beispiel mit 00:1A:2B:3C:4D:5E:Example with 00:1A:2B:3C:4D:5E:

An der eingeschobenen Folge FF:FE in der Adressmitte erkennt man eine EUI-64-abgeleitete IPv6-Adresse. Aus Datenschutzgründen nutzen viele Systeme heute jedoch Privacy Extensions (RFC 4941) mit zufälligen Interface-IDs statt der MAC-basierten EUI-64.The inserted sequence FF:FE in the middle of the address indicates an EUI-64-derived IPv6 address. For privacy reasons, however, many systems today use privacy extensions (RFC 4941) with random interface IDs instead of the MAC-based EUI-64.

Beispiele im ÜberblickExamples at a glance

SwitchingSwitching

Ein Switch verbindet Geräte im LAN auf Layer 2 und leitet Frames anhand der Ziel-MAC gezielt an den richtigen Port weiter – effizienter, schneller und sicherer als ein Hub. Dieser Artikel erklärt, wie ein Switch lernt, weiterleitet und absichert, und grenzt die wichtigsten Bauformen und Verfahren voneinander ab.A switch connects LAN devices at Layer 2 and forwards frames to the correct port based on the destination MAC – more efficient, faster and safer than a hub. This article explains how a switch learns, forwards and secures traffic, and distinguishes the most important variants and methods.

Switch vs. HubSwitch vs. hub

Ein Hub ist ein reiner Signalverstärker (Layer 1): Er sendet jedes Bit an alle Ports und bildet eine einzige große Kollisionsdomäne. Alle Geräte teilen sich die Bandbreite und müssen im Halbduplex per CSMA/CD um den Zugriff konkurrieren. Ein Switch arbeitet auf Layer 2, lernt MAC-Adressen und leitet Frames nur an den Zielport. Jeder Switch-Port ist eine eigene Kollisionsdomäne, ermöglicht Vollduplex und stellt jedem Gerät die volle Portbandbreite zur Verfügung.A hub is a pure signal repeater (Layer 1): it sends every bit to all ports and forms a single large collision domain. All devices share the bandwidth and must compete for access in half duplex via CSMA/CD. A switch works at Layer 2, learns MAC addresses and forwards frames only to the target port. Each switch port is its own collision domain, enables full duplex and gives each device the full port bandwidth.

Die MAC-Adresstabelle (CAM)The MAC address table (CAM)

Der Switch baut eine MAC-Adresstabelle (auch CAM-Tabelle nach dem zugrunde liegenden Content-Addressable Memory) auf, indem er die Quell-MAC jedes eingehenden Frames mit dem Empfangsport (und VLAN) verknüpft. Beim ersten Frame eines Geräts ist das Ziel meist noch unbekannt – der Switch lernt jedoch sofort die Absenderadresse. So füllt sich die Tabelle im laufenden Betrieb automatisch, ohne Konfiguration.The switch builds a MAC address table (also CAM table, after the underlying content-addressable memory) by associating the source MAC of every incoming frame with the ingress port (and VLAN). With a device's first frame the destination is usually still unknown – but the switch immediately learns the sender address. The table thus fills itself automatically during operation, without configuration.

• Lernen: Quell-MAC + Empfangsport werden gespeichert; bewegt sich ein Gerät an einen anderen Port, wird der Eintrag aktualisiert.Learning: source MAC + ingress port are stored; if a device moves to another port, the entry is updated.
• Aging Time: Einträge altern und werden nach einer einstellbaren Zeit (Standard meist 300 s) gelöscht, wenn keine Frames mehr von dieser MAC kommen. Das hält die Tabelle aktuell und kompakt.Aging time: entries age out and are removed after a configurable interval (default usually 300 s) when no more frames arrive from that MAC. This keeps the table current and compact.
• Begrenzte Größe: Die CAM-Tabelle hat eine feste Kapazität (je nach Hardware z. B. 8.000–256.000 Einträge). Läuft sie über, kann der Switch ins Fluten verfallen – ein Angriffsvektor (siehe Port Security).Limited size: the CAM table has a fixed capacity (e.g. 8,000–256,000 entries depending on hardware). If it overflows, the switch may fall back to flooding – an attack vector (see port security).

Dynamische Einträge entstehen durch Lernen und altern; statische Einträge werden manuell gesetzt und bleiben bestehen. Mit show mac address-table lässt sich die Tabelle auf vielen Switches anzeigen.Dynamic entries are created by learning and age out; static entries are set manually and persist. On many switches the table can be shown with show mac address-table.

Forwarding, Filtering, FloodingForwarding, filtering, flooding

Bei jedem Frame schlägt der Switch die Ziel-MAC in der CAM-Tabelle nach und entscheidet daraus eine von drei Aktionen:For every frame the switch looks up the destination MAC in the CAM table and decides on one of three actions:

• Forwarding (Unicast): Ist die Ziel-MAC bekannt und liegt an einem anderen Port, sendet der Switch den Frame nur an diesen Zielport.Forwarding (unicast): if the destination MAC is known and on a different port, the switch sends the frame only to that target port.
• Filtering: Liegen Quelle und Ziel am selben Port, wird der Frame verworfen (nicht zurückgesendet) – die Geräte erreichen sich direkt.Filtering: if source and destination are on the same port, the frame is discarded (not sent back) – the devices reach each other directly.
• Flooding: Ist die Ziel-MAC unbekannt (Unknown Unicast) oder handelt es sich um Broadcast/Multicast, geht der Frame an alle Ports des VLANs außer dem Eingangsport.Flooding: if the destination MAC is unknown (unknown unicast) or the frame is broadcast/multicast, it goes to all ports in the VLAN except the ingress port.

Kollisions- vs. Broadcast-DomäneCollision vs. broadcast domain

Eine Kollisionsdomäne ist der Bereich, in dem sich Frames physisch stören können – bei Switches je Port eine. Eine Broadcast-Domäne umfasst alle Geräte, die einen Broadcast empfangen; sie endet erst an einem Router (Layer 3) oder an einer VLAN-Grenze. Ein Switch verkleinert also Kollisionsdomänen, nicht aber die Broadcast-Domäne.A collision domain is the area where frames can physically interfere – one per port on a switch. A broadcast domain covers all devices that receive a broadcast; it ends only at a router (Layer 3) or at a VLAN boundary. A switch thus shrinks collision domains but not the broadcast domain.

Managed vs. Unmanaged SwitchManaged vs. unmanaged switch

Ein Unmanaged Switch ist „Plug and Play“: einschalten, anstecken, fertig – ohne Konfiguration. Ein Managed Switch bietet Management-Funktionen über CLI, Web-GUI oder SNMP und ist für strukturierte Netze unverzichtbar.An unmanaged switch is plug and play: power on, plug in, done – no configuration. A managed switch offers management functions via CLI, web GUI or SNMP and is indispensable for structured networks.

Dazwischen gibt es Smart/Web-Managed Switches: günstiger als voll gemanagte Geräte, mit einer Web-Oberfläche und einer Teilmenge der Funktionen (oft VLAN und einfache QoS), aber meist ohne vollständige CLI.In between there are smart/web-managed switches: cheaper than fully managed devices, with a web interface and a subset of features (often VLAN and basic QoS), but usually without a full CLI.

Layer-2- vs. Layer-3-SwitchLayer 2 vs. Layer 3 switch

Ein Layer-2-Switch leitet ausschließlich anhand von MAC-Adressen weiter. Ein Layer-3-Switch beherrscht zusätzlich Routing in Hardware (ASIC) und kann zwischen VLANs vermitteln, ohne dass jeder Frame einen externen Router passieren muss.A Layer 2 switch forwards solely based on MAC addresses. A Layer 3 switch additionally performs routing in hardware (ASIC) and can route between VLANs without every frame having to traverse an external router.

• SVI (Switch Virtual Interface): Ein virtuelles Layer-3-Interface pro VLAN, das als Gateway dient (z. B. interface vlan 10 mit IP 10.0.10.1).SVI (switch virtual interface): a virtual Layer 3 interface per VLAN that acts as the gateway (e.g. interface vlan 10 with IP 10.0.10.1).
• Inter-VLAN-Routing: Der L3-Switch ersetzt den klassischen „Router on a Stick“ und routet VLAN-übergreifend mit Wire-Speed.Inter-VLAN routing: the L3 switch replaces the classic "router on a stick" and routes across VLANs at wire speed.
• L3-Switches sind im Vergleich zu Routern stark im LAN (viele Ports, hoher Durchsatz), bieten aber meist weniger WAN-Funktionen (z. B. NAT, VPN).Compared to routers, L3 switches excel in the LAN (many ports, high throughput) but usually offer fewer WAN features (e.g. NAT, VPN).

Switching-VerfahrenSwitching methods

Wie viel von einem Frame ein Switch einliest, bevor er ihn weiterleitet, bestimmt den Kompromiss aus Latenz und Fehlerprüfung:How much of a frame a switch reads before forwarding determines the trade-off between latency and error checking:

Hintergrund zu Fragment-Free: Die meisten Kollisionen entstehen in den ersten 64 Byte eines Frames (der minimalen Ethernet-Framegröße). Wer diese abwartet, filtert „Runts“ heraus, ohne auf den ganzen Frame zu warten.Background on fragment-free: most collisions occur within the first 64 bytes of a frame (the minimum Ethernet frame size). Waiting for these filters out "runts" without waiting for the entire frame.

Sicherheit & Komfort-FunktionenSecurity & convenience features

Port Security gegen MAC-FloodingPort security against MAC flooding

Bei einem MAC-Flooding-Angriff überflutet ein Angreifer den Switch mit tausenden gefälschten Quell-MACs, bis die CAM-Tabelle voll ist. Der Switch flutet dann unbekannte Unicasts an alle Ports – der Angreifer kann mitlesen. Port Security begrenzt die Zahl der pro Port erlaubten MAC-Adressen und reagiert bei Verletzung mit einer Aktion (shutdown, restrict oder protect).In a MAC flooding attack an attacker floods the switch with thousands of forged source MACs until the CAM table is full. The switch then floods unknown unicasts to all ports – the attacker can eavesdrop. Port security limits the number of MAC addresses allowed per port and, on violation, reacts with an action (shutdown, restrict or protect).

Link Aggregation (LACP)Link aggregation (LACP)

Link Aggregation bündelt mehrere physische Ports zu einem logischen Kanal (EtherChannel/Port-Channel). Das erhöht die Bandbreite und schafft Redundanz: Fällt ein Link aus, läuft der Verkehr über die verbleibenden weiter. Das Aushandeln übernimmt das herstellerübergreifende Protokoll LACP (IEEE 802.3ad). Die Lastverteilung erfolgt pro Flow (Hash über MAC-/IP-/Port-Werte), nicht beliebig pro Paket.Link aggregation bundles several physical ports into one logical channel (EtherChannel/port-channel). This increases bandwidth and creates redundancy: if one link fails, traffic continues over the remaining ones. Negotiation is handled by the vendor-neutral protocol LACP (IEEE 802.3ad). Load balancing is per flow (hash over MAC/IP/port values), not arbitrarily per packet.

Power over Ethernet (PoE)Power over Ethernet (PoE)

PoE versorgt Endgeräte wie IP-Telefone, WLAN-Access-Points und Kameras über dasselbe Netzwerkkabel mit Strom – ein separates Netzteil entfällt. Übliche Standards: 802.3af (PoE, bis ~15 W), 802.3at (PoE+, bis ~30 W) und 802.3bt (PoE++, bis ~60/90 W) am Port.PoE powers end devices such as IP phones, Wi-Fi access points and cameras over the same network cable – a separate power supply is unnecessary. Common standards: 802.3af (PoE, up to ~15 W), 802.3at (PoE+, up to ~30 W) and 802.3bt (PoE++, up to ~60/90 W) at the port.

Loop-Schutz: Spanning TreeLoop protection: spanning tree

Mehrere Switches mit redundanten Verbindungen können Layer-2-Schleifen bilden, in denen Broadcasts endlos kreisen (Broadcast-Storm). Das Spanning Tree Protocol (STP/RSTP, IEEE 802.1D/1w) erkennt solche Schleifen und blockiert überzählige Pfade logisch, hält sie aber als Reserve bereit. Fällt ein aktiver Pfad aus, wird ein blockierter Pfad freigeschaltet.Several switches with redundant links can form Layer 2 loops in which broadcasts circulate endlessly (broadcast storm). The Spanning Tree Protocol (STP/RSTP, IEEE 802.1D/1w) detects such loops and logically blocks redundant paths while keeping them as a backup. If an active path fails, a blocked path is activated.

VLAN & TrunkingVLANs & trunking

VLANs trennen ein physisches Switch-Netz logisch in mehrere Broadcast-Domänen – für Segmentierung, Sicherheit und Übersicht ohne zusätzliche Hardware. Trunks bündeln viele VLANs über eine einzige Leitung zwischen Switches und Routern.VLANs logically split a physical switch network into multiple broadcast domains – for segmentation, security and clarity without extra hardware. Trunks carry many VLANs over a single link between switches and routers.

Das VLAN-KonzeptThe VLAN concept

Ein VLAN (Virtual LAN) fasst Ports logisch zu einer eigenen Broadcast-Domäne zusammen. Geräte in unterschiedlichen VLANs können nicht direkt auf Layer 2 kommunizieren, selbst wenn sie am selben Switch hängen. So lassen sich z. B. Büro-, Server- und Gäste-Netze trennen, ohne für jedes Netz eine eigene physische Verkabelung oder einen eigenen Switch zu benötigen.A VLAN (Virtual LAN) logically groups ports into a separate broadcast domain. Devices in different VLANs cannot communicate directly at Layer 2, even on the same switch. This separates e.g. office, server and guest networks without needing dedicated cabling or a dedicated switch per network.

Ohne VLANs ist ein Switch eine einzige große Broadcast-Domäne: Jeder Broadcast (z. B. ARP) erreicht alle Ports. Mit VLANs entstehen mehrere getrennte Domänen auf derselben Hardware. Ein VLAN entspricht in der Praxis fast immer genau einem IP-Subnetz – die Verknüpfung von Layer 2 (VLAN) und Layer 3 (Subnetz) bildet das Grundgerüst strukturierter Netze.Without VLANs a switch is one large broadcast domain: every broadcast (e.g. ARP) reaches all ports. VLANs create several separate domains on the same hardware. In practice a VLAN almost always maps to exactly one IP subnet – linking Layer 2 (VLAN) and Layer 3 (subnet) forms the backbone of structured networks.

Vorteile von VLANsBenefits of VLANs

• Segmentierung: Abteilungen, Funktionen oder Mandanten lassen sich sauber voneinander trennen – unabhängig vom Standort des Geräts im Gebäude.Segmentation: departments, functions or tenants can be cleanly separated – regardless of where the device physically sits in the building.
• Sicherheit: sensible Systeme (Server, Verwaltung, IoT) werden isoliert; der Verkehr zwischen VLANs lässt sich gezielt über Firewalls oder ACLs filtern.Security: sensitive systems (servers, management, IoT) are isolated; traffic between VLANs can be filtered deliberately via firewalls or ACLs.
• Broadcast-Eindämmung: kleinere Broadcast-Domänen reduzieren Last und begrenzen die Auswirkungen von Broadcast-Stürmen.Broadcast containment: smaller broadcast domains reduce load and limit the impact of broadcast storms.
• Flexibilität: Umzüge und Umstrukturierungen erfolgen per Konfiguration statt durch Umstecken von Kabeln.Flexibility: moves and reorganizations are done in software instead of re-cabling.
• Kostenersparnis: ein einziger Switch ersetzt mehrere getrennte physische Netze.Cost savings: a single switch replaces several separate physical networks.

802.1Q-Tag-Aufbau802.1Q tag structure

Damit ein Frame seine VLAN-Zugehörigkeit über Trunks trägt, wird nach der Quell-MAC ein 4 Byte langer 802.1Q-Tag eingefügt. Der Tag besteht aus dem TPID (2 Byte) und dem TCI (Tag Control Information, 2 Byte). Das TCI gliedert sich wiederum in PCP, DEI und VID:So a frame carries its VLAN membership across trunks, a 4-byte 802.1Q tag is inserted after the source MAC. The tag consists of the TPID (2 bytes) and the TCI (Tag Control Information, 2 bytes). The TCI in turn splits into PCP, DEI and VID:

Durch den Tag wächst der Ethernet-Frame um +4 Byte: Die maximale Framegröße steigt von 1518 auf 1522 Byte. Switches berechnen die FCS-Prüfsumme nach dem Einfügen neu. Ältere Geräte, die diese Größe nicht kennen, melden solche Frames mitunter fälschlich als „baby giants“.The tag grows the Ethernet frame by +4 bytes: the maximum frame size rises from 1518 to 1522 bytes. Switches recompute the FCS after inserting the tag. Older devices unaware of this size may falsely report such frames as “baby giants”.

VLAN-BereicheVLAN ranges

Das 12-Bit-VID-Feld erlaubt 4096 Werte. Zwei davon sind reserviert, VLAN 1 ist das werkseitige Standard-VLAN:The 12-bit VID field allows 4096 values. Two are reserved, and VLAN 1 is the factory default VLAN:

Nutzbar sind also die IDs 1–4094. VLAN 1 sollte aus Sicherheitsgründen nicht für Nutzdaten verwendet werden, da es viele Steuerprotokolle (CDP, STP, VTP) trägt.Usable IDs are therefore 1–4094. For security, VLAN 1 should not carry user data, as it transports many control protocols (CDP, STP, VTP).

Access- vs. Trunk-PortAccess vs. trunk port

Jeder Switch-Port arbeitet entweder als Access- oder als Trunk-Port. Die PVID (Port VLAN ID) bestimmt, welchem VLAN ein eingehender ungetaggter Frame zugeordnet wird.Each switch port operates as either an access or a trunk port. The PVID (Port VLAN ID) determines which VLAN an incoming untagged frame is assigned to.

Verlässt ein Frame einen Access-Port, wird der Tag wieder entfernt; das Endgerät bekommt also nur normale, ungetaggte Ethernet-Frames. Auf einem Trunk werden alle VLANs außer dem Native VLAN getaggt übertragen.When a frame leaves an access port, the tag is stripped again; the end device only sees plain, untagged Ethernet frames. On a trunk, all VLANs except the native VLAN are carried tagged.

Native VLANNative VLAN

Auf einem Trunk wird das Native VLAN ohne Tag übertragen. Standard ist VLAN 1. Empfängt ein Trunk-Port einen ungetaggten Frame, ordnet er ihn dem Native VLAN zu. Aus Sicherheitsgründen sollte das Native VLAN auf beiden Trunk-Enden identisch konfiguriert und idealerweise ein eigenes, ungenutztes VLAN sein.On a trunk, the native VLAN is transmitted without a tag. The default is VLAN 1. If a trunk port receives an untagged frame, it assigns it to the native VLAN. For security, the native VLAN should be configured identically on both trunk ends and ideally be a dedicated, unused VLAN.

Inter-VLAN-RoutingInter-VLAN routing

Kommunikation zwischen VLANs erfordert Layer 3, da jedes VLAN ein eigenes Subnetz ist. Zwei klassische Ansätze stehen zur Wahl:Communication between VLANs requires Layer 3, since each VLAN is its own subnet. Two classic approaches are common:

In modernen Netzen übernimmt häufig auch eine Firewall das Inter-VLAN-Routing („VLAN on a stick“ zur Firewall), um den Verkehr zwischen Segmenten gezielt zu filtern.In modern networks a firewall often performs inter-VLAN routing too (“VLAN on a stick” to the firewall) in order to filter traffic between segments deliberately.

Weitere VLAN-TechnologienFurther VLAN technologies

• Voice VLAN: ein zusätzliches, getaggtes VLAN für VoIP-Telefone an einem Access-Port. Der angeschlossene PC bleibt im Daten-VLAN (ungetaggt), das Telefon im Voice-VLAN (getaggt) – mit eigener QoS-Priorität.Voice VLAN: an extra tagged VLAN for VoIP phones on an access port. The attached PC stays in the data VLAN (untagged), the phone in the voice VLAN (tagged) – with its own QoS priority.
• VTP (VLAN Trunking Protocol): Cisco-Protokoll, das VLAN-Definitionen automatisch über Trunks zwischen Switches verteilt. Spart Tipparbeit, birgt aber Risiken: Ein falsch eingebundener Switch mit höherer Revisionsnummer kann die VLAN-Datenbank domänenweit überschreiben.VTP (VLAN Trunking Protocol): a Cisco protocol that distributes VLAN definitions automatically across trunks between switches. It saves typing but carries risk: a wrongly added switch with a higher revision number can overwrite the VLAN database domain-wide.
• QinQ (802.1ad): „VLAN-Stacking“ – ein zweiter äußerer Tag (S-Tag) kapselt die VLANs des Kunden (C-Tag). Provider transportieren so viele Kunden-VLANs durch ihr Backbone, ohne dass sich deren VLAN-IDs überschneiden.QinQ (802.1ad): “VLAN stacking” – a second outer tag (S-tag) encapsulates the customer’s VLANs (C-tag). Providers thus carry many customer VLANs across their backbone without VLAN-ID collisions.

ARP – Address Resolution ProtocolARP – Address Resolution Protocol

ARP löst eine bekannte IPv4-Adresse in die zugehörige MAC-Adresse auf und verbindet damit Layer 3 mit Layer 2 im lokalen Netz. Ohne diese Auflösung könnte kein Ethernet-Frame zugestellt werden, denn Switches und Netzwerkkarten adressieren ausschließlich über MAC-Adressen.ARP resolves a known IPv4 address into its MAC address, bridging Layer 3 and Layer 2 in the local network. Without this resolution no Ethernet frame could be delivered, because switches and network cards address purely by MAC address.

ZweckPurpose

Um einen Ethernet-Frame zu adressieren, braucht ein Sender die Ziel-MAC, kennt aber oft nur die Ziel-IPv4. ARP ermittelt die fehlende MAC-Adresse innerhalb desselben Subnetzes. Liegt das Ziel außerhalb des eigenen Subnetzes, wird stattdessen die MAC des Standard-Gateways aufgelöst und der Frame dorthin gesendet – das Gateway routet ihn dann weiter.To address an Ethernet frame, a sender needs the destination MAC but often knows only the destination IPv4. ARP determines the missing MAC within the same subnet. If the target lies outside the local subnet, the MAC of the default gateway is resolved instead and the frame is sent there – the gateway then routes it onward.

ARP wurde in RFC 826 standardisiert und arbeitet direkt über Ethernet (EtherType 0x0806), ohne IP-Header. Es ist damit weder ein reines Layer-2- noch ein reines Layer-3-Protokoll, sondern ein Bindeglied dazwischen.ARP was standardised in RFC 826 and runs directly over Ethernet (EtherType 0x0806), without an IP header. It is therefore neither a pure Layer 2 nor a pure Layer 3 protocol, but the link between them.

Aufbau eines ARP-PaketsStructure of an ARP packet

Ein ARP-Paket hat einen festen Aufbau. Die folgende Tabelle zeigt die wichtigsten Felder mit typischen Werten für IPv4 über Ethernet.An ARP packet has a fixed structure. The table below lists the key fields with typical values for IPv4 over Ethernet.

Im Request ist die Ziel-MAC unbekannt und wird mit Nullen gefüllt; gesucht wird genau dieser Wert. Im Reply trägt der antwortende Host seine MAC in die Sender-Felder ein, sodass der Anfrager die Zuordnung lernt.In a request the target MAC is unknown and filled with zeros; this is exactly the value being sought. In a reply the answering host puts its MAC into the sender fields so the requester learns the mapping.

Ablauf: Request und Reply Schritt für SchrittProcess: request and reply step by step

Beispiel: Host 192.168.1.50 (MAC 00:1A:2B:3C:4D:5E) möchte den Router 192.168.1.1 erreichen, kennt aber dessen MAC nicht.Example: host 192.168.1.50 (MAC 00:1A:2B:3C:4D:5E) wants to reach the router 192.168.1.1 but does not know its MAC.

1. Der Host prüft seinen ARP-Cache. Fehlt der Eintrag, startet er eine Auflösung.The host checks its ARP cache. If the entry is missing, it starts a resolution.
2. ARP-Request als Broadcast an FF:FF:FF:FF:FF:FF: „Wer hat 192.168.1.1? Sag es 192.168.1.50.“ Jede Station im Subnetz empfängt den Frame.ARP request as a broadcast to FF:FF:FF:FF:FF:FF: "Who has 192.168.1.1? Tell 192.168.1.50." Every station in the subnet receives the frame.
3. Nur der Inhaber von 192.168.1.1 fühlt sich angesprochen; die übrigen Stationen verwerfen die Anfrage (lernen den Sender aber oft mit).Only the owner of 192.168.1.1 responds; the other stations discard the request (though they often learn the sender anyway).
4. ARP-Reply als Unicast direkt an den Anfrager: „192.168.1.1 liegt bei 00:1A:2B:3C:4D:5E.“ – hier die MAC des Routers, z. B. 00:AA:BB:CC:DD:EE.ARP reply as a unicast straight to the requester: "192.168.1.1 is at" the router's MAC, e.g. 00:AA:BB:CC:DD:EE.
5. Beide Seiten speichern die Zuordnung im Cache. Der eigentliche Datenverkehr kann nun fließen.Both sides store the mapping in their cache. The actual traffic can now flow.

ARP-CacheARP cache

Aufgelöste Zuordnungen speichert das Betriebssystem im ARP-Cache, um wiederholte Anfragen zu vermeiden. Dynamische Einträge altern nach kurzer Zeit aus (Timeout typisch einige Minuten, je nach OS unterschiedlich) und werden bei Bedarf neu aufgelöst. So bleibt der Cache aktuell, falls sich eine MAC ändert.The operating system stores resolved mappings in the ARP cache to avoid repeated requests. Dynamic entries age out after a short time (timeout typically a few minutes, varying by OS) and are re-resolved when needed. This keeps the cache current should a MAC change.

Befehle zum Arbeiten mit dem Cache:Commands for working with the cache:

Statische Einträge werden manuell gesetzt, altern nicht aus und überschreiben keine eingehenden Replies. Sie erhöhen die Sicherheit gegen Spoofing, sind aber bei MAC-Wechseln pflegeintensiv und skalieren in großen Netzen schlecht.Static entries are set manually, never age out and are not overwritten by incoming replies. They harden against spoofing but require maintenance when MACs change and scale poorly in large networks.

Gratuitous ARPGratuitous ARP

Beim Gratuitous ARP sendet ein Gerät unaufgefordert eine ARP-Nachricht über seine eigene IP – Sender-IP und Ziel-IP sind dabei identisch. Es wird keine Antwort erwartet; die Nachricht dient als Ankündigung an das gesamte Subnetz.In gratuitous ARP a device sends an unsolicited ARP message about its own IP – sender IP and target IP are identical. No answer is expected; the message serves as an announcement to the whole subnet.

• IP-Konflikt-Erkennung: Antwortet ein anderer Host, ist die IP bereits vergeben.IP conflict detection: if another host replies, the IP is already taken.
• Failover (VRRP/HSRP): Übernimmt ein Standby-Router die virtuelle IP, aktualisiert ein Gratuitous ARP die Caches und MAC-Tabellen, damit der Verkehr sofort zum neuen Gerät fließt.Failover (VRRP/HSRP): when a standby router takes over the virtual IP, a gratuitous ARP updates caches and MAC tables so traffic immediately flows to the new device.
• Cache-Aktualisierung: Nach Link-up, Boot oder Adresswechsel verbreitet ein Host seine aktuelle Zuordnung proaktiv.Cache refresh: after link-up, boot or address change a host proactively advertises its current mapping.

Proxy ARPProxy ARP

Bei Proxy ARP beantwortet ein Router ARP-Requests stellvertretend für Hosts, die in einem anderen Segment liegen, mit seiner eigenen MAC. So erreichen Geräte ein Ziel scheinbar im selben Subnetz, obwohl der Router dazwischen routet. Das ist nützlich bei falsch dimensionierten Subnetzen, gilt heute aber als veraltet und kann das Troubleshooting erschweren.With Proxy ARP a router answers ARP requests on behalf of hosts in another segment, using its own MAC. Devices then reach a target as if it were in the same subnet, even though the router forwards in between. This helps with misdimensioned subnets but is considered legacy today and can complicate troubleshooting.

ARP und IPv6: NDPARP and IPv6: NDP

ARP existiert nur für IPv4. In IPv6 übernimmt das NDP (Neighbor Discovery Protocol) diese Aufgabe über ICMPv6-Nachrichten. Statt Broadcast nutzt NDP Multicast (Solicited-Node-Multicast), was die Last für unbeteiligte Hosts reduziert.ARP exists only for IPv4. In IPv6 the NDP (Neighbor Discovery Protocol) handles this task via ICMPv6 messages. Instead of broadcast, NDP uses multicast (solicited-node multicast), reducing the load on uninvolved hosts.

NDP bietet darüber hinaus Funktionen wie Router-Discovery, Präfix-/Autokonfiguration (SLAAC) und Duplicate Address Detection – siehe den eigenen Artikel zu NDP.NDP additionally offers features such as router discovery, prefix/auto-configuration (SLAAC) and duplicate address detection – see the dedicated NDP article.

Spanning Tree (STP)Spanning Tree (STP)

STP verhindert Schleifen in redundant verkabelten Switch-Netzen, indem es automatisch einen schleifenfreien logischen Baum aufspannt. Redundante Leitungen bleiben physisch verbunden, werden aber logisch blockiert und springen bei einem Ausfall als Reserve ein.STP prevents loops in redundantly cabled switch networks by automatically building a loop-free logical tree. Redundant links stay physically connected but are logically blocked and step in as backups when a link fails.

Das Problem: Layer-2-Schleifen und Broadcast-StürmeThe problem: Layer 2 loops and broadcast storms

Auf Layer 3 schützt das TTL-Feld (IPv4) bzw. Hop Limit (IPv6) vor endlos kreisenden Paketen: Jeder Router zählt den Wert herunter und verwirft das Paket bei 0. Ein Ethernet-Frame hat kein solches Feld. Auf Layer 2 gibt es somit keine eingebaute Bremse gegen kreisende Frames.On Layer 3 the TTL field (IPv4) or hop limit (IPv6) protects against endlessly circling packets: each router decrements the value and drops the packet at 0. An Ethernet frame has no such field. On Layer 2 there is therefore no built-in brake against circling frames.

Switches fluten Broadcasts, Multicasts und Frames mit unbekannter Ziel-MAC auf alle Ports außer dem Eingangsport. Existiert zwischen zwei Switches eine physische Schleife, gerät ein einzelner Broadcast in eine Endlosschleife und vervielfacht sich bei jeder Runde – ein Broadcast-Sturm.Switches flood broadcasts, multicasts and frames with an unknown destination MAC out of all ports except the ingress port. If a physical loop exists between two switches, a single broadcast enters an endless loop and multiplies on each round – a broadcast storm.

Die Folgen einer Schleife ohne STP:Consequences of a loop without STP:

• Broadcast-Sturm: Die Bandbreite wird in Sekunden gesättigt, CPUs der Switches laufen auf 100 %, das Netz fällt praktisch aus.Broadcast storm: bandwidth saturates within seconds, switch CPUs hit 100 %, and the network effectively goes down.
• Instabile MAC-Tabelle (MAC-Flapping): Dieselbe Quell-MAC erscheint abwechselnd auf mehreren Ports, weil derselbe Frame über verschiedene Wege ankommt. Die Switch-Lerntabelle wird ständig überschrieben.Unstable MAC table (MAC flapping): the same source MAC appears alternately on several ports because the same frame arrives over different paths. The switch learning table is overwritten constantly.
• Mehrfache Frame-Zustellung: Unicast-Frames kommen dupliziert an und stören Protokolle, die auf eindeutige Zustellung setzen.Duplicate frame delivery: unicast frames arrive duplicated and disrupt protocols that rely on exactly-once delivery.

STP (802.1D) – FunktionsweiseSTP (802.1D) – how it works

STP (IEEE 802.1D) wählt zunächst eine zentrale Root Bridge als Wurzel des Baums. Anschließend bestimmt jeder Switch den günstigsten Pfad zu dieser Wurzel und blockiert alle übrigen Pfade. Die Switches tauschen dafür BPDUs (Bridge Protocol Data Units) aus – kleine Multicast-Frames an die Adresse 01:80:C2:00:00:00, standardmäßig alle 2 Sekunden (Hello Time).STP (IEEE 802.1D) first elects a central root bridge as the root of the tree. Each switch then determines its lowest-cost path to that root and blocks all other paths. To do this the switches exchange BPDUs (Bridge Protocol Data Units) – small multicast frames to address 01:80:C2:00:00:00, by default every 2 seconds (hello time).

Der Algorithmus läuft in drei Schritten ab: (1) Root Bridge wählen, (2) je Switch den Root Port wählen, (3) je Segment den Designated Port wählen. Alle nicht gewählten Ports werden blockiert.The algorithm runs in three steps: (1) elect the root bridge, (2) choose each switch's root port, (3) choose each segment's designated port. Every port not selected is blocked.

Bridge-ID und Root-Bridge-WahlBridge ID and root bridge election

Die Bridge-ID ist 8 Byte lang und besteht aus zwei Teilen: 2 Byte Priorität und 6 Byte MAC-Adresse des Switches. Die Priorität ist standardmäßig 32768 und nur in Schritten von 4096 einstellbar (0, 4096, 8192, … bis 61440).The bridge ID is 8 bytes long and has two parts: a 2-byte priority and the switch's 6-byte MAC address. The priority defaults to 32768 and can only be set in steps of 4096 (0, 4096, 8192, … up to 61440).

Hintergrund: Die unteren 12 Bit des Prioritätsfelds werden bei modernem STP als Extended System ID für die VLAN-Nummer genutzt. Damit bleiben für die eigentliche Priorität nur die oberen 4 Bit – daher die Schrittweite 4096.Background: in modern STP the lower 12 bits of the priority field serve as the extended system ID holding the VLAN number. That leaves only the upper 4 bits for the priority itself – hence the step size of 4096.

Die Root-Bridge-Wahl Schritt für Schritt:The root bridge election step by step:

1. Beim Start hält sich jeder Switch für die Root Bridge und sendet BPDUs mit der eigenen Bridge-ID als Root-ID.At startup every switch considers itself the root bridge and sends BPDUs with its own bridge ID as the root ID.
2. Empfängt ein Switch eine BPDU mit niedrigerer Bridge-ID, übernimmt er diese als neue Root-ID und leitet sie weiter.If a switch receives a BPDU with a lower bridge ID, it adopts that as the new root ID and forwards it.
3. Es gewinnt die niedrigste Bridge-ID: zuerst die niedrigste Priorität, bei Gleichstand die niedrigste MAC-Adresse. Dieser Switch wird Root Bridge.The lowest bridge ID wins: lowest priority first, and on a tie the lowest MAC address. That switch becomes the root bridge.

Path Cost (Pfadkosten)Path cost

Den günstigsten Weg zur Root Bridge bestimmt STP über die Path Cost: die Summe der Kosten aller Links auf dem Pfad. Schnellere Links haben niedrigere Kosten. Maßgeblich sind die ursprünglichen Werte nach IEEE 802.1D (1998):STP determines the cheapest path to the root bridge via path cost: the sum of the cost of every link on the path. Faster links have lower cost. The classic values per IEEE 802.1D (1998) are:

Bei Gleichstand der Pfadkosten entscheidet als Tie-Breaker die niedrigste Bridge-ID des Nachbarn und schließlich die niedrigste Port-ID. Für sehr schnelle Links (40/100 Gbit/s) definiert die neuere Variante Long Path Cost (IEEE 802.1t/802.1Q) einen größeren 32-Bit-Wertebereich.If path costs tie, the tie-breaker is the neighbor's lowest bridge ID and finally the lowest port ID. For very fast links (40/100 Gbit/s) the newer long path cost variant (IEEE 802.1t/802.1Q) defines a wider 32-bit value range.

Port-RollenPort roles

Nach der Berechnung erhält jeder Port eine Rolle, die festlegt, ob er weiterleitet oder blockiert:After the calculation each port is assigned a role that decides whether it forwards or blocks:

Merksatz: Die Root Bridge hat keine Root Ports – alle ihre Ports sind Designated Ports. Jedes Segment (jede Kollisionsdomäne) hat genau einen Designated Port; der gegenüberliegende, schlechter gestellte Port wird blockiert.Rule of thumb: the root bridge has no root ports – all its ports are designated ports. Every segment (collision domain) has exactly one designated port; the opposite, less favorable port is blocked.

Port-Zustände und KonvergenzzeitPort states and convergence time

Bevor ein Port Daten weiterleitet, durchläuft er im klassischen 802.1D mehrere Zustände. Listening und Learning dauern je 15 Sekunden (Forward Delay).Before a port forwards data it passes through several states in classic 802.1D. Listening and learning each take 15 seconds (forward delay).

Daraus ergibt sich die typische Konvergenzzeit von 802.1D: Ein Port braucht etwa 30 s (Listening + Learning) vom Aufwachen bis Forwarding. Muss zuvor noch ein Ausfall erkannt werden (Max Age = 20 s), summiert sich die Wiederherstellung auf 30–50 Sekunden. Diese lange Pause war der Hauptgrund für die Entwicklung von RSTP.This yields the typical 802.1D convergence time: a port needs about 30 s (listening + learning) from waking up to forwarding. If a failure must be detected first (max age = 20 s), recovery adds up to 30–50 seconds. This long pause was the main reason RSTP was developed.

RSTP (802.1w) – schnelle KonvergenzRSTP (802.1w) – fast convergence

RSTP (IEEE 802.1w) konvergiert in der Regel in unter einer Sekunde statt in Zehnersekunden. Statt passiv auf Timer zu warten, nutzt RSTP einen aktiven Proposal/Agreement-Handshake zwischen benachbarten Switches und kann Ports so sofort freischalten. RSTP ist abwärtskompatibel zu 802.1D und ist heute der Standard – das alte 802.1D gilt als veraltet.RSTP (IEEE 802.1w) usually converges in under a second instead of tens of seconds. Rather than passively waiting for timers, RSTP uses an active proposal/agreement handshake between neighboring switches and can unblock ports immediately. RSTP is backward compatible with 802.1D and is the standard today – the old 802.1D is considered obsolete.

RSTP führt zwei neue Backup-Rollen ein und fasst die Zustände auf drei zusammen:RSTP introduces two new backup roles and condenses the states to three:

• Alternate Port: Backup für den Root Port – übernimmt bei dessen Ausfall fast verzögerungsfrei.Alternate port: backup for the root port – takes over almost instantly if it fails.
• Backup Port: Backup für einen Designated Port im selben Segment.Backup port: backup for a designated port on the same segment.

SchutzmechanismenProtection mechanisms

Mehrere Zusatzfunktionen (herstellerübergreifend bzw. Cisco-Terminologie) härten STP gegen Fehlkonfiguration und Angriffe ab:Several add-on features (vendor-neutral or Cisco terminology) harden STP against misconfiguration and attacks:

VLAN-fähige Varianten: PVST+ und MSTPVLAN-aware variants: PVST+ and MSTP

Klassisches STP kennt nur eine Topologie für das gesamte Netz. In VLAN-Umgebungen ist das suboptimal, weil dann alle VLANs denselben blockierten Link teilen und Redundanzleitungen ungenutzt bleiben. Zwei Erweiterungen lösen das:Classic STP knows only one topology for the whole network. In VLAN environments that is suboptimal, because all VLANs then share the same blocked link and redundant paths stay unused. Two extensions solve this:

• PVST+ / Rapid-PVST+ (Cisco): eine eigene STP-Instanz pro VLAN. Maximale Lastverteilung, aber hoher Ressourcen- und CPU-Aufwand bei vielen VLANs.PVST+ / Rapid-PVST+ (Cisco): a separate STP instance per VLAN. Maximum load balancing, but high resource and CPU overhead with many VLANs.
• MSTP (IEEE 802.1s): bündelt mehrere VLANs zu wenigen Instanzen (MST-Instances). Herstellerunabhängig und skalierbar – man erhält Lastverteilung, ohne pro VLAN eine eigene Instanz zu betreiben.MSTP (IEEE 802.1s): groups multiple VLANs into a few instances (MST instances). Vendor-neutral and scalable – you get load balancing without running a separate instance per VLAN.

IPv4-AdressenIPv4 addresses

Eine IPv4-Adresse ist 32 Bit lang und identifiziert eine Netzwerkschnittstelle eindeutig innerhalb ihres Geltungsbereichs. Sie ist die Grundlage der Adressierung im klassischen Internet und wird auch in modernen Dual-Stack-Netzen weiterhin breit eingesetzt.An IPv4 address is 32 bits long and uniquely identifies a network interface within its scope. It is the foundation of addressing in the classic Internet and remains widely used in modern dual-stack networks.

Aufbau und NotationStructure and notation

Die 32 Bit werden in vier Oktette (je 8 Bit) aufgeteilt und in Dotted-Decimal-Schreibweise dargestellt, z. B. 192.168.1.10. Jedes Oktett kann Werte von 0 bis 255 annehmen, woraus sich 2^32 und damit rund 4,3 Milliarden mögliche Adressen ergeben.The 32 bits are split into four octets (8 bits each) and written in dotted-decimal notation, e.g. 192.168.1.10. Each octet ranges from 0 to 255, giving 2^32 and therefore about 4.3 billion possible addresses.

Die Dezimaldarstellung ist nur eine bequeme Schreibweise für den Menschen; intern arbeitet das Netzwerk mit Bits. Die Adresse 192.168.1.10 entspricht binär 11000000.10101000.00000001.00001010. Jedes Oktett ist eine Summe von Stellenwerten (128, 64, 32, 16, 8, 4, 2, 1): so ergibt 11000000 den Wert 128 + 64 = 192.The decimal form is only a convenient notation for humans; internally the network works with bits. The address 192.168.1.10 in binary is 11000000.10101000.00000001.00001010. Each octet is a sum of place values (128, 64, 32, 16, 8, 4, 2, 1): so 11000000 yields 128 + 64 = 192.

Wer Subnetzgrenzen, Netz- und Broadcast-Adressen verstehen will, kommt um diese binäre Sicht nicht herum, denn die Trennung zwischen Netz und Host verläuft auf Bit-Ebene, nicht entlang der Punkte zwischen den Oktetten.Anyone wanting to understand subnet boundaries, network and broadcast addresses cannot avoid this binary view, because the split between network and host happens at the bit level, not along the dots between the octets.

Netz- und HostanteilNetwork and host part

Jede Adresse besteht aus einem Netzanteil und einem Hostanteil. Der Netzanteil bestimmt das Subnetz, der Hostanteil das einzelne Gerät darin. Welche Bits zu welchem Teil gehören, legt die Subnetzmaske bzw. das CIDR-Präfix fest. Ein Präfix wie /24 bedeutet: die ersten 24 Bit sind Netz, die restlichen 8 Bit sind Host.Every address consists of a network part and a host part. The network part identifies the subnet, the host part the individual device within it. The subnet mask or CIDR prefix defines which bits belong to which part. A prefix such as /24 means the first 24 bits are network and the remaining 8 bits are host.

In jedem Subnetz sind zwei Adressen reserviert: Die Netzadresse hat alle Host-Bits auf 0, die Broadcast-Adresse alle Host-Bits auf 1. Beim Netz 192.168.1.0/24 ist 192.168.1.0 die Netzadresse und 192.168.1.255 der Broadcast; nutzbar für Hosts sind 192.168.1.1 bis 192.168.1.254, also 2^8 − 2 = 254 Adressen.In every subnet two addresses are reserved: the network address has all host bits set to 0, the broadcast address all host bits set to 1. For the network 192.168.1.0/24, 192.168.1.0 is the network address and 192.168.1.255 the broadcast; usable host addresses are 192.168.1.1 through 192.168.1.254, i.e. 2^8 − 2 = 254 addresses.

Allgemein gilt für ein Subnetz mit h Host-Bits: 2^h Adressen insgesamt und 2^h − 2 nutzbare Hosts. Die Aufteilung beliebiger Netze in kleinere Subnetze und die zugehörige Rechnung wird im Thema Subnetting/CIDR ausführlich behandelt.In general, a subnet with h host bits has 2^h total addresses and 2^h − 2 usable hosts. Splitting arbitrary networks into smaller subnets and the related arithmetic is covered in detail under subnetting/CIDR.

Adressklassen A–EAddress classes A–E

Historisch wurde der Adressraum anhand der führenden Bits des ersten Oktetts in Klassen mit fester Standardmaske unterteilt. Heute ist das klassenbasierte Modell durch das flexiblere CIDR (Classless Inter-Domain Routing) abgelöst, das beliebige Präfixlängen erlaubt. Die Begriffe sind aber weiterhin gebräuchlich und tauchen in Doku und Prüfungen auf.Historically the address space was divided into classes by the leading bits of the first octet, each with a fixed default mask. The classful model has been replaced by the more flexible CIDR (Classless Inter-Domain Routing), which allows arbitrary prefix lengths. The terms are still commonly used, however, and appear in documentation and exams.

Tipp: Klasse antippen für Details.Tip: tap a class for details.

Private Adressbereiche (RFC 1918)Private address ranges (RFC 1918)

Diese drei Bereiche sind nicht im öffentlichen Internet routbar und für interne Netze reserviert. Sie dürfen frei und in beliebig vielen Organisationen parallel verwendet werden. Geräte mit privaten Adressen erreichen das Internet über NAT.These three ranges are not routable on the public Internet and are reserved for internal networks. They may be used freely and in parallel across any number of organizations. Devices with private addresses reach the Internet via NAT.

Sonderbereiche und reservierte AdressenSpecial-purpose and reserved addresses

Neben den privaten Bereichen sind weitere Adressblöcke für bestimmte Zwecke reserviert und sollten nicht regulär an Hosts vergeben werden.Besides the private ranges, further address blocks are reserved for specific purposes and should not be assigned to hosts in the usual way.

Öffentliche und private Adressen, NATPublic and private addresses, NAT

Öffentliche Adressen sind weltweit eindeutig und werden von Registraren (IANA/RIRs) zugeteilt; nur sie sind direkt im Internet erreichbar. Private Adressen gelten nur lokal und können in vielen Netzen gleichzeitig vorkommen. Damit private Hosts dennoch das Internet nutzen können, übersetzt NAT (Network Address Translation) im Router die privaten Quelladressen auf eine oder wenige öffentliche Adressen.Public addresses are globally unique and assigned by registries (IANA/RIRs); only they are directly reachable on the Internet. Private addresses are valid only locally and can occur in many networks at the same time. So that private hosts can still use the Internet, NAT (Network Address Translation) in the router translates the private source addresses to one or a few public addresses.

Die in Heimroutern übliche Variante ist PAT bzw. „NAT Overload“: Viele interne Geräte teilen sich eine öffentliche Adresse, unterschieden über Portnummern. NAT spart öffentliche Adressen, erschwert aber eingehende Verbindungen und durchgehende Ende-zu-Ende-Erreichbarkeit.The common variant in home routers is PAT, also called "NAT overload": many internal devices share one public address, distinguished by port numbers. NAT conserves public addresses but complicates inbound connections and true end-to-end reachability.

Adresserschöpfung und Ausblick IPv6Address exhaustion and outlook on IPv6

Mit rund 4,3 Milliarden theoretisch möglichen Adressen ist der IPv4-Raum für das gewachsene Internet zu klein. Der zentrale Vorrat der IANA wurde 2011 erschöpft, die regionalen Register folgten in den Jahren danach. Maßnahmen wie CIDR, NAT und CGNAT haben den Übergang gestreckt, lösen das Problem aber nicht grundsätzlich; freie IPv4-Blöcke werden heute teils gehandelt.With about 4.3 billion theoretically possible addresses, the IPv4 space is too small for today's grown Internet. IANA's central pool was exhausted in 2011, and the regional registries followed in the years after. Measures such as CIDR, NAT and CGNAT have stretched the transition but do not fundamentally solve the problem; free IPv4 blocks are now partly traded on a market.

Die langfristige Lösung ist IPv6 mit 128 Bit Adresslänge und damit einem praktisch unbegrenzten Adressraum (2^128 Adressen). In der Praxis laufen IPv4 und IPv6 meist parallel im Dual-Stack, sodass beide Protokolle gleichzeitig genutzt werden, bis IPv4 schrittweise an Bedeutung verliert.The long-term solution is IPv6 with a 128-bit address length and thus a practically unlimited address space (2^128 addresses). In practice IPv4 and IPv6 mostly run side by side in dual-stack, so both protocols are used at once until IPv4 gradually loses importance.

IPv6-GrundlagenIPv6 basics

IPv6 nutzt 128 Bit lange Adressen und löst damit die Adressknappheit von IPv4 mit einem praktisch unerschöpflichen Adressraum. Gleichzeitig vereinfacht es die Konfiguration, macht NAT überflüssig und ersetzt ARP und Broadcast durch effizientere Mechanismen.IPv6 uses 128-bit addresses, solving IPv4's address exhaustion with a practically inexhaustible address space. It also simplifies configuration, removes the need for NAT, and replaces ARP and broadcast with more efficient mechanisms.

Warum IPv6?Why IPv6?

IPv4 bietet mit 32 Bit nur rund 4,3 Milliarden Adressen — längst zu wenig für die weltweit vernetzten Geräte. IPv6 erweitert den Adressraum auf 128 Bit, also 2 hoch 128 (2¹²⁸) oder etwa 3,4 × 10³⁸ Adressen. Das sind so viele, dass jedem Sandkorn der Erde rechnerisch Milliarden Adressen zugeteilt werden könnten.With 32 bits, IPv4 offers only about 4.3 billion addresses — far too few for today's globally connected devices. IPv6 expands the address space to 128 bits, that is 2 to the power of 128 or roughly 3.4 × 10³⁸ addresses. So many that, mathematically, every grain of sand on Earth could be assigned billions of addresses.

Neben dem Adressraum bringt IPv6 weitere Verbesserungen: einen schlankeren, festen Header-Aufbau, eingebaute Autokonfiguration, ein Ende des Adressmangel-Workarounds NAT und ein effizienteres Nachbarschaftsmanagement über das Neighbor Discovery Protocol.Beyond the address space, IPv6 brings further improvements: a leaner fixed-format header, built-in autoconfiguration, an end to the address-shortage workaround NAT, and more efficient neighbor management via the Neighbor Discovery Protocol.

Notation und AufbauNotation and structure

Die 128 Bit werden in acht Gruppen zu je 16 Bit (vier Hexadezimalziffern) geschrieben, getrennt durch Doppelpunkte. Jede Hex-Ziffer steht für 4 Bit, jede Gruppe also für 16 Bit. Ein vollständig ausgeschriebenes Beispiel ist 2001:0db8:0000:0000:0000:ff00:0042:8329.The 128 bits are written as eight groups of 16 bits (four hexadecimal digits) separated by colons. Each hex digit represents 4 bits, so each group represents 16 bits. A fully written-out example is 2001:0db8:0000:0000:0000:ff00:0042:8329.

Die ersten 64 Bit bilden üblicherweise das Netzpräfix (welches Netz), die letzten 64 Bit die Interface-ID (welcher Host). Diese feste Teilung in zwei Hälften ist eines der prägenden Merkmale von IPv6.The first 64 bits usually form the network prefix (which network), the last 64 bits the interface ID (which host). This fixed split into two halves is one of IPv6's defining features.

KompressionsregelnCompression rules

Vollständig ausgeschriebene Adressen sind lang und unhandlich. Zwei Regeln verkürzen sie eindeutig:Fully written-out addresses are long and unwieldy. Two rules shorten them unambiguously:

1. Führende Nullen in einer Gruppe dürfen entfallen: 0db8 → db8, 0042 → 42, 0000 → 0.Leading zeros in a group may be omitted: 0db8 → db8, 0042 → 42, 0000 → 0.
2. Eine oder mehrere zusammenhängende Nullgruppen werden zu :: verkürzt — aber nur einmal pro Adresse, sonst wäre die Länge der ausgelassenen Teile mehrdeutig. Üblicherweise wird der längste Nullblock verkürzt.One or more consecutive all-zero groups collapse to :: — but only once per address, otherwise the length of the omitted parts would be ambiguous. By convention the longest run of zero groups is collapsed.

Schritt für Schritt am Beispiel 2001:0db8:0000:0000:0000:ff00:0042:8329:Step by step using the example 2001:0db8:0000:0000:0000:ff00:0042:8329:

1. Führende Nullen streichen → 2001:db8:0:0:0:ff00:42:8329.Strip leading zeros → 2001:db8:0:0:0:ff00:42:8329.
2. Längsten Nullblock (drei Gruppen) durch :: ersetzen → 2001:db8::ff00:42:8329.Replace the longest run of zeros (three groups) with :: → 2001:db8::ff00:42:8329.

Auch das ältere Beispiel 2001:0db8:0000:0000:0000:0000:0000:0001 wird so kompakt zu 2001:db8::1. Hex-Buchstaben werden konventionell klein geschrieben.Likewise the older example 2001:0db8:0000:0000:0000:0000:0000:0001 compactly becomes 2001:db8::1. By convention, hex letters are written in lowercase.

AdresstypenAddress types

IPv6 kennt mehrere Adresskategorien, die anhand ihres Präfixes unterschieden werden:IPv6 defines several address categories, distinguished by their prefix:

Tipp: Adresstyp antippen für Details.Tip: tap an address type for details.

Ein Interface trägt fast immer mehrere Adressen gleichzeitig — typischerweise mindestens eine Link-Local-Adresse plus eine globale oder lokale Unicast-Adresse. Das ist in IPv6 völlig normal und kein Fehler.An interface almost always carries several addresses at once — typically at least one link-local address plus a global or local unicast address. This is entirely normal in IPv6 and not an error.

Präfix-Struktur und SubnettingPrefix structure and subnetting

Die Präfixlänge gibt — wie bei IPv4 — an, wie viele führende Bit zum Netz gehören. In IPv6 haben sich einige Präfixlängen als Standard etabliert:The prefix length indicates — as in IPv4 — how many leading bits belong to the network. In IPv6 a few prefix lengths have become standard:

Das /64 ist die zentrale Größe: Die unteren 64 Bit bleiben für die Interface-ID frei, weshalb fast alle Mechanismen (z. B. SLAAC) ein /64 voraussetzen. Wer ein /48 besitzt, kann daraus 65.536 /64-Subnetze bilden — Subnetting bedeutet in IPv6 also fast nie Knappheit, sondern reine Strukturierung.The /64 is the key size: the lower 64 bits remain free for the interface ID, which is why almost all mechanisms (e.g. SLAAC) assume a /64. Anyone holding a /48 can carve out 65,536 /64 subnets — so subnetting in IPv6 is almost never about scarcity, but purely about structure.

Autokonfiguration: SLAAC, DHCPv6 und statischAutoconfiguration: SLAAC, DHCPv6 and static

IPv6-Hosts können sich auf drei Wegen eine Adresse beschaffen:IPv6 hosts can obtain an address in three ways:

In der Praxis werden SLAAC und DHCPv6 oft kombiniert: SLAAC vergibt die Adresse, ein Stateless DHCPv6 liefert ergänzende Infos wie DNS-Server. Welche Verfahren ein Client nutzen soll, steuern Flags im Router Advertisement (M- und O-Bit).In practice SLAAC and DHCPv6 are often combined: SLAAC assigns the address while a stateless DHCPv6 supplies extra information such as DNS servers. Which methods a client should use is controlled by flags in the Router Advertisement (the M and O bits).

EUI-64 und Privacy ExtensionsEUI-64 and privacy extensions

Bei klassischem SLAAC kann die Interface-ID per EUI-64 aus der 48-Bit-MAC-Adresse abgeleitet werden: In die Mitte der MAC wird fffe eingefügt und ein Bit (U/L) invertiert, woraus 64 Bit entstehen. Nachteil: Die Adresse enthält die MAC und ist dadurch über Netze hinweg wiedererkennbar.In classic SLAAC the interface ID can be derived from the 48-bit MAC address via EUI-64: fffe is inserted into the middle of the MAC and one bit (U/L) is flipped, producing 64 bits. Drawback: the address contains the MAC and is therefore traceable across networks.

Deshalb nutzen moderne Systeme Privacy Extensions (RFC 4941): zufällige, regelmäßig wechselnde Interface-IDs für ausgehende Verbindungen. So bleibt die Person hinter der Adresse schwerer nachverfolgbar.For that reason modern systems use privacy extensions (RFC 4941): random interface IDs that change regularly for outbound connections. This makes the person behind an address harder to track.

NDP statt ARPNDP instead of ARP

IPv6 kennt kein ARP. Stattdessen erledigt das Neighbor Discovery Protocol (NDP) auf Basis von ICMPv6 die Nachbarschaftsfindung. Vier Nachrichtentypen sind zentral:IPv6 has no ARP. Instead the Neighbor Discovery Protocol (NDP), built on ICMPv6, handles neighbor discovery. Four message types are central:

• Router Solicitation (RS): Ein Host fragt aktiv nach Routern.Router Solicitation (RS): a host actively asks for routers.
• Router Advertisement (RA): Router kündigen Präfix, Gateway und Konfigurations-Flags an.Router Advertisement (RA): routers announce the prefix, gateway and configuration flags.
• Neighbor Solicitation (NS): Ermittelt die MAC zu einer IPv6-Adresse (ersetzt ARP) und prüft auf Adresskonflikte (DAD).Neighbor Solicitation (NS): resolves the MAC for an IPv6 address (replacing ARP) and checks for address conflicts (DAD).
• Neighbor Advertisement (NA): Die Antwort darauf mit der gesuchten Link-Layer-Adresse.Neighbor Advertisement (NA): the reply carrying the requested link-layer address.

IPv6 verzichtet ganz auf Broadcast. Stattdessen werden gezielte Multicast-Gruppen angesprochen:IPv6 drops broadcast entirely. Targeted multicast groups are used instead: