title: Gemeiner Schimpanse

text: Die Sozialstruktur der Schimpansen wird als „Fission-Fusion-Organisation“ („Trennen und Zusammengehen“) beschrieben. Das heißt, sie leben in Großgruppen, die sich aus 20 bis 80 Tieren zusammensetzen, die sich oft in Untergruppen aufspalten – etwa zur Nahrungssuche – und dann wieder zusammenkommen, insbesondere zur Nachtruhe. Erwachsene Tiere gehen beispielsweise oft allein auf Futtersuche oder schließen sich mit anderen zu einer kurzlebigen, vorübergehenden Untergruppe zusammen. Diese Untergruppen sind sehr flexibel und umfassen meist vier bis acht Tiere, also deutlich weniger als beim Bonobo. Die Zusammensetzung und Größe der Untergruppen ist sehr variabel und unterscheidet sich auch von Population zu Population.


title: Gemeiner Schimpanse

text: Starke und ältere Männchen führen und verteidigen die ganze Großgruppe. Die Männchen entwickeln eine ausgeprägte Rangstruktur. Dazu dienen verschiedene Rituale wie laute Schreie, Trommeln auf Baumstämmen, Kraftdemonstrationen – sie schütteln Äste oder werfen Steine – und demonstrativ schnelles Laufen oder Springen. Sie investieren viel Zeit und Energie, um ihren Rang innerhalb der Gruppe zu verbessern. Sie bilden dazu unter anderem Koalitionen, dies kann aber auch ein Täuschungsmanöver, eine Scheinallianz sein. Die Jagd auf kleine Säugetiere und die Bewachung der Reviergrenzen, die beide von Männchen durchgeführt werden, dienen ebenfalls diesem Zweck. Auch die gegenseitige Fellpflege (Komfortverhalten) ist bei den Männchen stark ausgeprägt und unterstützt die soziale Kommunikation.


title: Gemeiner Schimpanse

text: Im Gegensatz dazu sind Weibchen oft einzelgängerischer und entwickeln eine weniger auffällige Hierarchie. Eine Rangordnung ist aber trotzdem vorhanden, das zeigt sich darin, dass höhergestellte Weibchen etwa häufiger Nachwuchs haben. Generell haben Weibchen außer mit ihren Töchtern wenig Interaktion mit anderen Weibchen. Das liegt auch daran, dass die Weibchen ihre Geburtsgruppe bei Erreichen der Geschlechtsreife verlassen, während die Männchen die meiste Zeit ihres Lebens bei ihrer Gruppe bleiben.


title: Gemeiner Schimpanse

text: Die Interaktionen zwischen Männchen und Weibchen sind variabel und näher im Abschnitt Paarungsverhalten beschrieben.


title: Gemeiner Schimpanse

text: Eine Großgruppe hat in der Regel ein bestimmtes Streifgebiet. Dieses ist in Wäldern 5 bis 40 Quadratkilometer groß, in Savannen mit 120 bis 560 Quadratkilometern hingegen deutlich größer. Kleine Männchengruppen patrouillieren oft an den Grenzen des Territoriums. Tiere, die nicht der eigenen Großgruppe angehören, werden meist sehr aggressiv behandelt. Die Verfolgung einzelner fremder Tiere wird manchmal dermaßen brutal geführt, dass dafür das Wort „Krieg“ verwendet wurde. (siehe auch → Schimpansenkrieg von Gombe). Auch nicht-fruchtbare Weibchen werden dabei nicht verschont. Diese kriegsartigen Übergriffe, bei denen Gemeine Schimpansen manchmal auch unprovoziert in fremdes Territorium eindringen und die dortigen Tiere verfolgen und töten, ist außer bei ihnen und beim Menschen unter Primaten unbekannt.


title: Gemeiner Schimpanse

text: Gemeine Schimpansen wurden wiederholt beim Gebrauch von Werkzeugen beobachtet. So verwenden sie zerkaute Blätter als Schwämme, um Wasser aus Baumlöchern zu schöpfen, Grashalme und Stöcke werden bearbeitet und in Termitenhügel eingeführt, um die Insekten verzehren zu können. Steine oder Äste dienen als Hammer und Amboss, um Nüsse zu knacken, und Äste werden als Haken benutzt, um fruchttragende Äste heranziehen zu können. Stöcke und Steine dienen als Wurfgeschosse bei der Jagd und zur Verteidigung. In jüngster Zeit wurde auch beobachtet, dass sie bearbeitete und zugespitzte Holzstöcke als Spieße verwenden, um damit Galagos zu jagen. Es gibt zwar keine Hinweise, dass sie Steine bearbeiten, jedoch bewahren sie besonders geeignete Steine auf oder lagern sie an einer sicheren Stelle, wo sie diese im Bedarfsfall wiederfinden können.


title: Gemeiner Schimpanse

text: Die einzelnen Populationen unterscheiden sich deutlich in Art und Häufigkeit des Werkzeuggebrauchs, und keine einzelne Verwendung kommt bei allen Populationen vor. So ist das Nussknacken mittels Steinen bislang nur bei der westlichen Unterart beobachtet worden, bei den Tieren im Osten des Verbreitungsgebietes ist diese Praxis unbekannt. Funde aus dem Nationalpark Taï in der Elfenbeinküste belegen, dass diese Praxis seit zumindest 4300 Jahren angewandt wird. In einer im Februar 2019 veröffentlichten Studie wird eine im Norden der Demokratischen Republik Kongo lebende Population des Ostafrikanischen Schimpansen ("P. t. schweinfurthii") beschrieben, die Stöcke verschiedener Art (kurze, lange, dicke oder dünne) benutzt um verschiedene Ameisenarten oder den Honig von Stachellosen Bienen zu erbeuten. Nüsse und andere harte Früchte, sowie die Nester von Baumtermiten und die Gehäuse von Afrikanischen Riesenschnecken ("Achatina") und Gelenkschildkröten ("Kinixys") werden geöffnet, indem diese an Baumstämme oder Steine geschlagen werden. Bemerkenswert ist auch, dass diese Schimpansen bevorzugt nicht auf Bäumen, sondern auf dem Erdboden schlafen.


title: Gemeiner Schimpanse

text: Der Werkzeuggebrauch ist ebenso wie der allabendliche Nestbau keine instinktive Tätigkeit, sondern wird von den jüngeren Tieren durch Beobachten von erfahrenen Tieren erlernt.


title: Gemeiner Schimpanse

text: Wie von dem Menschenaffen erforschenden Biologen Richard Wrangham 1972 in einem Nationalpark Tansanias beobachtet wurde, haben Schimpansen verschiedene Methoden entwickelt, sich von Parasiten zu befreien. Hierfür werden raue, scharfkantige Blätter bestimmter Pflanzen abgerissen, sorgfältig zusammengefaltet und unzerkaut geschluckt. Infrage kommen die Blätter von etwa 30 Baumarten. Kot-Untersuchungen ergaben, dass die Blätter unverdaut wieder ausgeschieden werden, zusammen mit zahlreichen großen Darmparasiten. Es wird angenommen, dass die raue Blattstruktur die Würmer von den Darmwänden abschabt. Hinzu kommt die abführende Wirkung der in verschiedenen Blättern enthaltenen Gerbstoffe. Ebenso zur Parasitenabwehr dient die abführende Wirkung der in dem sehr bitteren Mark des Strauches "Vernonia amygdalina" enthaltenen Gerbstoffe, der im Westen von Tansania wächst und von Schimpansen bei Bedarf gefressen wird.


title: Gemeiner Schimpanse

text: Selbstmedikation ist ebenfalls keine angeborene, sondern eine erworbene beziehungsweise gelernte Verhaltensweise, die nur von einigen Populationen tradiert wird. Einer solchen Horde neu hinzuwandernde Schimpansenweibchen, die dieses Verhalten nicht kennen, lernen es von den Mitgliedern der Horde durch Nachahmung.


title: Gemeiner Schimpanse

text: Gemeine Schimpansen kommunizieren untereinander mit einer Reihe von Lauten und Körperhaltungen. Der häufigste Laut ist der „Pant-hoot“ genannte Ruf, der der Kontaktaufnahme mit entfernten Gruppenmitgliedern dient. Daneben verwenden sie auch einen Nahrungsruf, ein bellendes Keuchen, um andere Tiere auf eine Nahrungsquelle aufmerksam zu machen, Gekreische oder grölendes Brüllen bei der Jagd oder einen klagenden „Wraaa-Ruf“, der als Alarmsignal dient. Ein hechelndes Ein- und Ausatmen stellt ein Äquivalent zum menschlichen Lachen dar.


title: Gemeiner Schimpanse

text: Auch Gesichtsausdrücke und Körperhaltungen dienen der Interaktion. So wird Unterwerfung durch Ducken oder Präsentieren des Hinterteils signalisiert. Zornige oder aufgeregte Tiere stellen sich auf zwei Beine, sträuben das Fell und pressen die Lippen zusammen. Breites Grinsen ist oft ein Zeichen für Nervosität oder Furcht. Zum spektakulären Imponierverhalten dieser Tiere zählen lautes Gebrüll, schnelles Umherlaufen, Schleudern von Steinen oder Ziehen von großen Ästen.


title: Gemeiner Schimpanse

text: Gemeine Schimpansen sind Allesfresser, den Schwerpunkt ihrer Nahrung machen allerdings Pflanzen aus. Wichtigster Nahrungsbestandteil sind Früchte und Nüsse (45 bis 76 %) sowie Blätter (12 bis 45 %). Ergänzt wird die Nahrung durch Blüten, Samen und tierische Beute, so werden regelmäßig Insekten verzehrt. Gelegentlich machen sie auch Jagd auf Säugetiere wie kleine Paarhufer und kleinere Primaten wie Rote Stummelaffen, Galagos und sogar Paviane. Die Jagd wird meist von erwachsenen Männchen durchgeführt und hat eine sehr starke soziale Komponente. Männchen teilen das Fleisch mit anderen Gruppenmitgliedern und versuchen so, ihre Position in der Gruppenhierarchie zu verbessern oder beizubehalten.


title: Gemeiner Schimpanse

text: Die Paarung kann das ganze Jahr über erfolgen, die Länge des Sexualzyklus beträgt rund 36 Tage. Der Östrus dauert rund 6 bis 7 Tage, während dieser Zeit weisen die Weibchen eine deutliche Regelschwellung vor. Neben Bonobos sind sie die einzigen Menschenaffen, die dieses Merkmal haben; es tritt aber beispielsweise auch bei Pavianen auf.


title: Gemeiner Schimpanse

text: Das Paarungsverhalten ist variabel und kann verschiedene Formen annehmen. Einerseits kann es zu einem promiskuitiven Verhalten innerhalb der Großgruppe kommen, sodass sich mehrere Männchen und mehrere Weibchen untereinander fortpflanzen. Daneben kann auch beobachtet werden, dass ein Männchen sich mit einem fruchtbaren Weibchen paart und es anschließend bewacht und keine anderen Paarungspartner zulässt. Schließlich kommt es auch vor, dass ein Männchen und ein Weibchen eine kurzfristige Paarbildung eingehen und sich während ihrer fruchtbaren Periode mehrere Tage zu zweit von der Großgruppe absondern. Der Paarungserfolg einzelner Männchen kann sich durch Futtergabe an ausgewählte Weibchen nahezu verdoppeln und stützt damit die "„Fleisch-gegen-Sex-Hypothese“".


title: Gemeiner Schimpanse

text: Nach einer Tragezeit von durchschnittlich 230 Tagen bringt das Weibchen in der Regel ein einzelnes Jungtier zur Welt, Zwillingsgeburten sind selten. Das Geburtsgewicht der Neugeborenen beträgt rund 1,9 Kilogramm. In den ersten sechs Lebensmonaten klammert sich das Jungtier am Fell der Mutter fest, später reitet es auf ihrem Rücken. Die Entwöhnung erfolgt erst nach 3,5 bis 4,5 Jahren, doch bleibt das Jungtier meist noch eine längere Zeit (bis zu zehn Jahre) bei der Mutter.


title: Gemeiner Schimpanse

text: Ein Weibchen kann alle fünf bis sechs Jahre Nachwuchs zur Welt bringen, es sei denn, das Jungtier stirbt früher. Die Geschlechtsreife tritt im Alter von rund sieben Jahren ein, aufgrund der Gruppenhierarchie erfolgt die erste Fortpflanzung meist einige Jahre später: bei Weibchen mit 13 bis 14 Jahren und bei Männchen mit 15 bis 16 Jahren. Im Gegensatz zu Menschen oder Gorillas tritt bei Schimpansen keine Menopause ein. Zwar bekommen Weibchen ab dem 40. Lebensjahr seltener Junge, dies ist allerdings allein auf gesundheitliche Gründe zurückzuführen.


title: Gemeiner Schimpanse

text: Die Lebenserwartung Gemeiner Schimpansen beträgt in der Natur 30 bis 40 Jahre; in Zoos werden sie manchmal über 50 Jahre alt.


title: Gemeiner Schimpanse

text: Seit wann die westliche Welt vom Schimpansen weiß, ist nicht bekannt. Der karthagische Seefahrer Hanno († 440 v. Chr.) brachte von seiner Afrikareise die Felle von drei „wilden Frauen“ mit, vermutlich Schimpansen oder Gorillas. 1641 kam erstmals ein lebendiger Schimpanse in die Niederlande. Er wurde vom niederländischen Arzt Nicolaes Tulpius (1593–1674), der durch Rembrandts Gemälde „Die Anatomie des Dr. Tulp“ bekannt wurde, untersucht; die Befunde wurden unter dem Titel „Indischer Satyr“ veröffentlicht. Der englische Arzt und Zoologe Edward Tyson (1650–1708) untersuchte 1699 einen Schimpansen und stellte eine Reihe von Gemeinsamkeiten zwischen diesem und dem Menschen fest. Spätestens seit Darwins und Huxleys Werken zur Evolutionstheorie rückten Schimpansen als nahe Verwandte des Menschen ins Licht der Öffentlichkeit.


title: Gemeiner Schimpanse

text: 1915 gelang Rosalía Abreu auf Kuba die erste Nachzucht eines Schimpansen in Gefangenschaft. Wolfgang Köhler studierte von 1914 bis 1920 auf Teneriffa das Lernverhalten und den Werkzeuggebrauch von Schimpansen. In der 2. Hälfte des 20. Jahrhunderts rückte die Lebensweise und das Verhalten der Schimpansen in den Mittelpunkt des Interesses. Bahnbrechend wurde die Forschungstätigkeit Jane Goodalls an freilebenden Tieren im Gombe Stream National Park in Tansania. Mitte der 1960er-Jahre begann 150 Kilometer südlich des Gombe Stream National Parks ein japanisches Forscherteam unter der Leitung von Professor Nishida mit der Habituierung zweier Schimpansengruppen im Mahale Mountains National Park. Seit Mitte der 1980er-Jahre erforscht hier Dr. Michael Huffmann von der Kyoto-Universität den Medizinalpflanzengebrauch bei Schimpansen.


title: Gemeiner Schimpanse

text: Die Kommunikationsfähigkeit dieser Tiere steht bis heute im Mittelpunkt der Forschung. In den 1960er- und 1970er-Jahren gelang es dem Psychologen Roger Fouts, mehreren Schimpansen Begriffe der amerikanischen Gebärdensprache (American Sign Language, ASL) beizubringen. Die Schimpansin Washoe gilt heute als erstes nichtmenschliches Wesen, das eine menschliche Sprache erlernt hat.


title: Gemeiner Schimpanse

text: David Premack betrieb ähnliche Forschungen, allerdings benutzte er Symbolkärtchen. Daneben werden weiterhin auch der Werkzeuggebrauch, die Intelligenz und die Lernfähigkeit untersucht. Gemeine Schimpansen schaffen es, knifflige Probleme zu lösen (beispielsweise eine Frucht aus einem verschlossenen Behälter herauszuholen) und bestehen den Spiegeltest – das heißt, sie erkennen sich selbst im Spiegel. Um spezifische Vergleiche zwischen Menschen und diesen Tieren ziehen zu können, wurde ein Genom-Projekt für Schimpansen initiiert.


title: Gemeiner Schimpanse

text: In Leipzig wurde im Jahr 1997 das Max-Planck-Institut für evolutionäre Anthropologie neu gegründet. In der von Christophe Boesch geleiteten Abteilung Primatologie werden Sozialverhalten, sprachliche Lernfähigkeit und Strategien der Fortpflanzung von Menschenaffen im Vergleich zum Menschen untersucht.


title: Gemeiner Schimpanse

text: Diese nahe Verwandtschaft der Schimpansen zu den Menschen bestimmt das Verhältnis zu diesen Tieren deutlich mit. Eine ausdrucksstarke Mimik und oft verblüffend menschenähnliche Verhaltensweisen machen den Gemeinen Schimpansen zur beliebtesten und bekanntesten aller Menschenaffenarten. Im Tiergarten, Zirkus, auf Postern oder in Fernsehsendungen (z. B. Daktari, Unser Charly) sind diese Tiere vielfach zu sehen. Manchmal werden Gemeine Schimpansen auch als Heimtiere gehalten, am bekanntesten war „Bubbles“, der Affe Michael Jacksons.


title: Gemeiner Schimpanse

text: In Forschung und Wissenschaft spielen diese Tiere eine wichtige Rolle. So gibt es Erkrankungen, die sich außer am Menschen nur bei Schimpansen untersuchen lassen. Beispielsweise können Schimpansen mit HI- oder Hepatitis-Viren infiziert werden, erkranken jedoch nicht an Hepatitis oder AIDS. Da mittlerweile einige symptomatische Therapieoptionen für diese Erkrankungen zur Verfügung stehen, geht die Anzahl der für biomedizinische Forschungsaufgaben gebrauchten Schimpansen ständig zurück. In einigen Staaten (darunter auch Österreich) existieren mittlerweile Gesetze, die die Verwendung großer Menschenaffen für die biomedizinische Forschung verbieten.


title: Gemeiner Schimpanse

text: Da sich durch die lange Lebenserwartung und die Praxis, ausgediente Laborschimpansen nicht einzuschläfern, gemischt mit den Zuchtbestrebungen der letzten Jahrzehnte eine Überzahl an Schimpansen aus europäischen und amerikanischen Labors ergeben hat, gibt es mittlerweile auch Auffangstationen für ehemalige Laborschimpansen (Stichting Aap in den Niederlanden; Monkey World in Großbritannien; HOPE in Österreich und Chimp Haven in den USA).


title: Gemeiner Schimpanse

text: Auch in der Raumfahrt wurden Schimpansen eingesetzt. Am 31. Januar 1961 wurde der Schimpanse "Ham" im Rahmen des Mercury-Programms der NASA mit der Mercury-Redstone 2 (MR-2) in den Weltraum geschossen. Er überlebte den 16-minütigen Flug. In einem weiteren Experiment flog am 29. November 1961 der Schimpanse "Enos" mit der Mercury-Atlas 5 drei Stunden und 20 Minuten durch das All.


title: Gemeiner Schimpanse

text: In freier Natur gelten Gemeine Schimpansen als bedroht. Der Hauptgrund dafür ist die Zerstörung ihres Lebensraums durch Waldrodungen, die dazu geführt hat, dass ihr Verbreitungsgebiet immer stärker eingeschränkt und stark zersplittert wird. Insbesondere die Populationen in Westafrika sind davon betroffen. Doch werden sie auch wegen ihres Fleisches („Bushmeat“) gejagt oder weil sie manchmal Plantagen verwüsten. Während früher lebende Tiere oft gefangen wurden, um sie für Tierversuche einzusetzen oder zu Haustieren zu machen, ist der Lebendfang heute zurückgegangen. Das Washingtoner Artenschutz-Übereinkommen (CITES) verbietet den Handel mit Schimpansen komplett.


title: Gemeiner Schimpanse

text: Die IUCN listet die Art als stark bedroht ("endangered") und fürchtet einen weiteren Rückgang der Populationen. Die beiden westlicheren Unterarten sind demnach stärker bedroht als die Tiere im Osten des Verbreitungsgebietes.


title: Gemeiner Schimpanse

text: Schätzungen über die Populationsgröße sind schwer durchzuführen. Möglicherweise lebten Anfang des 20. Jahrhunderts noch mehrere Millionen Gemeine Schimpansen; diese Anzahl ist drastisch gesunken. Eine Schätzung aus dem Jahr 1999 beziffert die Gesamtpopulation auf 150.000 bis 235.000, andere Quellen gehen von weniger als 100.000 Tieren aus. Der WWF veröffentlichte 2009 folgende Zahlen: 21.000 bis 56.000 westafrikanische Schimpansen, 70.000 bis 117.000 zentralafrikanische, 76.000 bis 120.000 ostafrikanische und nur noch 5.000 bis 8.000 Nigeriaschimpansen, somit insgesamt zwischen 172.000 und 301.000 Individuen. 2019 ergab eine Schätzung für die westafrikanischen Schimpansen einen Bestand von rund 53.000 Individuen, bei einem Konfidenzintervall (95 %) von 17.577 bis 96.564 Individuen.


title: Gemeiner Schimpanse

text: Der Gemeine Schimpanse ("Pan troglodytes") bildet zusammen mit dem Bonobo oder Zwergschimpansen die Gattung der Schimpansen ("Pan"). Schätzungen zufolge trennten sich die beiden Arten vor zwischen 1,8 und 0,8 Millionen Jahren. Die Gattung der Schimpansen stellt innerhalb der Familie der Menschenaffen (Hominidae) das Schwestertaxon des Menschen dar.


title: Gemeiner Schimpanse

text: Der manchmal als eigene Art oder Unterart postulierte „Riesenschimpanse“ oder „Bili-Schimpanse“ hat sich nach DNA-Untersuchungen als Vertreter der östlichen Unterart ("P. t. schweinfurthii") herausgestellt.


title: Anne Schäfer (Schauspielerin)

text: Anne Schäfer wuchs am Chiemsee auf. Sie hatte von 2001 bis 2005 an der Hochschule für Musik und Theater in Zürich Schauspiel studiert und dort auch einige kleine Rollen gespielt, bevor sie für die Spielzeit 2005/06 ihr erstes festes Engagement am Landestheater Tübingen bekam, was die Titelrolle in Goethes "Iphigenie auf Tauris" einschloss. Von 2006 bis 2008 war Schäfer als Gastschauspielerin am Theater Basel tätig, an dem sie unter anderem in der Uraufführung von Laura de Wecks "Lieblingsmenschen" in der Regie von Werner Düggelin zu sehen war. Von 2007 bis 2011 war sie Ensemblemitglied des Bayerischen Staatsschauspiels und spielte in zwölf Produktionen, unter anderem in Bühnenklassikern wie Heinrich von Kleists "Der zerbrochne Krug", Molières "Menschenfeind" () sowie in Goethes "Iphigenie auf Tauris" zahlreiche Hauptrollen.


title: Anne Schäfer (Schauspielerin)

text: In den Jahren 2011/12 spielte sie an der Seite von Dominique Horwitz die Roxane in dem Versdrama "Cyrano de Bergerac" am Schauspielhaus Hamburg und auf den Ruhrfestspielen in Recklinghausen. 2011/13 war Schäfer Ensemblemitglied am Theater & Orchester Heidelberg, an dem sie in Sophokles' Tragödie "Elektra" die gleichnamige Titelrolle ebenso spielte wie die Rolle der Rosalinde in Shakespeares Theaterstück "Wie es euch gefällt".


title: Anne Schäfer (Schauspielerin)

text: Schäfer arbeitete unter anderem mit den Regisseuren Werner Düggelin, Jan Philipp Gloger, Cornelia Crombholz, Hans-Ulrich Becker, Tina Lanik, Alexander Nerlich, Elias Perrig


title: Anne Schäfer (Schauspielerin)

text: 2004 erhielt sie den Publikumspreis beim Treffen deutschsprachiger Schauspielschulen und den Oprecht-Preis der Stadt Zürich. Für ihre Darstellung der "Iphigenie" am Residenztheater München wurde Schäfer 2008 mit der TZ-Rose ausgezeichnet. 2009 erhielt sie den Kurt-Meisel-Preis, den Förderpreis der Freunde des Bayerischen Staatsschauspiels.


title: Anne Schäfer (Schauspielerin)

text: Im Kino spielte sie die Hauptrolle in Hannah Schweiers Romanverfilmung "Cindy liebt mich nicht" an der Seite von Clemens Schick. Der Film hatte 2010 in der Berlinale-Sektion "Perspektive Deutsches Kino" Premiere. Für ihre Darstellung der Jasmin wurde sie im "gleichnamigen Film" für den Förderpreis Deutscher Film als „Beste Darstellerin“ nominiert. Der Film wurde auf dem Filmfest München gezeigt, dem Indo-German-Filmfest in Bangalore und kam 2012 in die deutschen Kinos. Unter der Regie von Dominik Graf drehte sie 2012 den Kinofilm "Die geliebten Schwestern", in dem sie die deutsche Schriftstellerin Charlotte von Kalb verkörpert.


title: Anne Schäfer (Schauspielerin)

text: Seit 2009 ist Schäfer auch regelmäßig im Fernsehen zu sehen. Sie stand in Episoden für "SOKO 5113" und "Unter Verdacht" sowie Tatortfolgen vor der Kamera. 2012 drehte sie die erste deutsche Pay-TV-Serie "Add a Friend". In der Zeit von 2013 bis Anfang 2016 sowie im November 2022 spielte sie in der ZDF-Krimiserie "SOKO Köln" die Rolle der Kriminalkommissarin Sophia Mückeberg. Seit 2016 arbeitet sie als freie Schauspielerin und spielte die Hauptrolle an der Seite von David Rott in der ARD Liebeskomödie "Arzt mit Nebenwirkung". Außerdem drehte sie mit Anna Maria Mühe und Max von Thun die bayerische Komödie "Wenn Frauen ausziehen". Sie spielte auch in der Marathon Theater Installation "In deinem Pelz" im ehemaligen Gefängnis in Heidelberg. Im Januar 2017 drehte Schäfer die Actionkomödie "Hot Dog", in der sie an der Seite von Matthias Schweighöfer und Til Schweiger die weibliche Hauptrolle spielt.


title: Reichsteilung von 395

text: Unter der sogenannten Reichsteilung von 395 n. Chr. versteht man die nach dem Tod von Theodosius I. erfolgte Teilung des "Imperium Romanum" in eine westliche und eine östliche Hälfte, in der jeweils ein Kaiser residierte. Der erste oströmische Kaiser war Theodosius’ älterer Sohn Arcadius, der erste weströmische Kaiser sein jüngerer Sohn Honorius. Kaiserresidenz des Ostens war Konstantinopel, im Westen residierte der Hof zunächst in Mailand, später dann meist in Ravenna sowie vereinzelt auch in Rom.


title: Reichsteilung von 395

text: West- und Ostrom waren im 5. Jahrhundert allerdings nicht etwa zwei voneinander unabhängige Reiche, sondern bildeten nach damaligem Verständnis weiterhin gemeinsam das unteilbare "Imperium Romanum". So gab es weiterhin auch nur ein einziges römisches Bürgerrecht ("civitas Romana"). Es ist daher zutreffender, statt von einer Reichsteilung von einer Teilung der Herrschaft im Römischen Reich zu sprechen, auch wenn es nach 395 in vielerlei Hinsicht zu einer langsamen Auseinanderentwicklung der beiden Reichshälften kam.


title: Reichsteilung von 395

text: Die Idee, die Macht im Römischen Reich unter mehreren Herrschern zu verteilen, denen unterschiedliche regionale Aufgabenbereiche zugewiesen wurden, war alt: Bemerkenswerterweise verlief die Trennlinie 395 fast genau dort, wo beinahe 450 Jahre zuvor die Grenze zwischen den Machtbereichen von Octavian und Marcus Antonius festgelegt worden war, nämlich in Europa am Fluss Drina und in Afrika an den antiken "Arae Philaenorum" nahe der Großen Syrte. Spätestens im 3. Jahrhundert war diese Idee unter Kaiser Valerian, der sich die Herrschaft mit seinem Sohn Gallienus geteilt und diesem die Westhälfte des Reiches zugewiesen hatte, erneut aufgegriffen worden. In der Spätantike war seit Diokletian das Mehrkaisertum die Regel geworden, und bereits seit 364 gab es dauerhaft mindestens zwei Kaiserhöfe im Reich. Alles spricht dafür, dass auch die „Teilung“ von 395 in diese Reihe gehört.


title: Reichsteilung von 395

text: In diesem Zusammenhang ist die Rede von einer „Reichsteilung“ daher im Grunde irreführend; de jure war es nur eine Herrschaftsteilung, denn auch nach 395 bildete das "Imperium Romanum" staatsrechtlich weiterhin eine Einheit: Das Bild des Kaisers der jeweils anderen Reichshälfte stand in den Senatscurien von Rom und Konstantinopel, die meisten Gesetze galten (sofern sie dem jeweils anderen Hof offiziell mitgeteilt wurden) grundsätzlich reichsweit, und nicht selten griff der eine Kaiser auch in die Politik der anderen Hälfte ein. Das letzte bekannte Gesetz, das zugleich im Namen beider Kaiser erlassen wurde, stammt aus dem Jahr 472. Man hatte die Herrschaft 395 aus praktischen, insbesondere militärischen Gründen auf zwei "Augusti" – überdies Brüder – verteilen müssen, an eine Spaltung des Reiches in zwei unabhängige Hälften dachte man nicht. Der spätantike Historiker Eunapios von Sardes äußerte dazu: „Die Kaiser regieren in zwei Körpern ein einziges Reich.“ Um 400 kam es aufgrund von Rivalitäten zwischen den beiden Kaiserhöfen zwar fast zu einem Krieg zwischen Ost- und Westrom; derartige Bürgerkriege hatte es aber im 4. Jahrhundert bereits wiederholt gegeben, ohne dass damit die Reichseinheit in Frage gestellt worden wäre. Im Gegenteil: Die Streitigkeiten entzündeten sich auch nach 395 nicht zuletzt gerade an dem Problem, welcher Kaiserhof in Fragen des Gesamtreichs das letzte Wort haben solle.


title: Reichsteilung von 395

text: Besonders der oströmische Kaiser Theodosius II. (408 bis 450), der Sohn des Arcadius, legte gesteigerten Wert auf den Zusammenhalt der beiden Reichshälften, setzte daher 424 seinen Vetter Valentinian III. als neuen Herrscher in Ravenna ein, verheiratete ihn mit seiner Tochter Licinia Eudoxia und veranlasste 438 auch die Promulgation des "Codex Theodosianus" im Westen. In diesem Zusammenhang bezeichnete seine Kanzlei das Römische Reich als "coniunctissimum imperium", also als „engstens verbundenes Reich“. Schon 437 hatte Valentinian III. zudem Konstantinopel besucht. Auch Theodosius’ Nachfolger Markian und Leo schickten wiederholt Soldaten sowie zwei "Augusti", Anthemius im Jahr 467 und Iulius Nepos im Jahr 474, in den Westen. Zu nennen ist vor allem auch ein enorm aufwendiger gemeinsamer Angriff west- und oströmischer Truppen auf das Vandalenreich im Jahr 468. Umgekehrt beanspruchte der Westkaiser Valentinian III. noch 450 ein Mitspracherecht bei der Nachfolge im Ostreich, das er allerdings aufgrund der Bedrohung durch die Hunnen Attilas nicht durchsetzen konnte. Der Blick auf Karrieren wie die Aspars zeigt, dass Soldaten und andere Amtsträger im 5. Jahrhundert durchaus noch zwischen ost- und weströmischem Dienst hin und her wechseln konnten.


title: Reichsteilung von 395

text: Trotzdem kam der Regelung von 395 im Rückblick erhebliche Bedeutung zu: Da das weströmische Kaisertum 476/480 erlosch, bevor es wieder zur Alleinherrschaft eines einzigen Kaisers ("Augustus") hätte kommen können, erwies sie sich faktisch als endgültig. Nicht wenige Althistoriker sind zudem der Ansicht, dass sich bereits im Verlauf des 4. Jahrhunderts eine stärkere kulturelle, religiöse und vor allem ökonomische Auseinanderentwicklung des griechisch geprägten Ostens und des lateinischen Westens abgezeichnet habe. Diese sei durch die Trennung von 395 und die wachsende Rivalität zwischen den beiden Kaiserhöfen befestigt und verstärkt worden. Die Verwaltungen in Ost und West funktionierten faktisch eigenständig und entwickelten jeweils Besonderheiten. Vor allem scheint es von Nachteil gewesen zu sein, dass Geld- und Truppenverschiebungen von Ost nach West nun zwar nicht unmöglich, wohl aber sehr viel umständlicher waren als zuvor; dieser Faktor mag den Fortbestand des ökonomisch deutlich stärkeren Ostens und den endgültigen Zerfall Westroms mit verursacht haben. Auch Missverständnisse, Misstrauen und Eifersüchteleien zwischen den beiden Kaiserhöfen könnten hierzu beigetragen haben.


title: Reichsteilung von 395

text: Aus Sicht der Zeitgenossen scheint die Zeit der Reichsteilung allerdings 476 geendet zu haben – fortan gab es wieder nur einen einzigen römischen Kaiser, den in Konstantinopel. Nach dem Erlöschen des westlichen Kaisertums lag die Herrschaft über den Westen nun ganz selbstverständlich bei ihm, auch wenn man sie bis auf weiteres notgedrungen an die Herrscher der Germanenreiche delegierte. Westliche Autoren wie Hydatius von Aquae Flaviae sprachen folglich von einer "monarchía" des Ostkaisers über das ganze Reich. Kaiser Justinian machte noch 140 Jahre nach der Reichsteilung deutlich, dass er gewillt war, diese Ansprüche auch tatsächlich wieder durchzusetzen, und führte Rückeroberungskriege gegen Vandalen, Ost- und Westgoten.


title: Reichsteilung von 395

text: Die Idee der Reichseinheit überdauerte die Teilung von 395 letztlich um mindestens 200 Jahre. Noch 597 scheint Kaiser Maurikios das zwei Jahrhunderte zuvor angewandte Konzept vor Augen gehabt zu haben, als er verfügte, nach seinem Tod solle sein ältester Sohn in Konstantinopel, sein Zweitgeborener aber in Rom als Kaiser residieren – allerdings wurde dieser Plan 602 durch die Ausrottung der kaiserlichen Familie durch den Usurpator Phokas zunichtegemacht. Wenig später wurden im Osten die lateinische Verwaltungs- und Kommandosprache sowie zahlreiche weitere römische Traditionen aufgegeben, und das nunmehr gänzlich gräzisierte Byzantinische Reich zog sich ab dem 7. Jahrhundert fast vollständig aus dem Westen zurück. Den Anspruch auf die Oberhoheit im gesamten ehemaligen römischen Machtbereich aber sollten die Kaiser in Konstantinopel auch im Mittelalter niemals aufgeben.


title: Säurekonstante

text: Die Säurekonstante "K" ist eine Stoffkonstante, die Aufschluss darüber gibt, in welchem Maße ein "Stoff" in einer Gleichgewichtsreaktion mit Wasser unter Protolyse reagiert:


title: Säurekonstante

text: Dabei steht "HA" für eine "Brønsted-Säure" (nach Johannes Nicolaus Brønsted), die ein Proton H an ein Lösungsmittel wie Wasser abgeben kann, wobei ein Anion A zurückbleibt. Allgemeiner gilt die Brønsted'sche Definition auch für nichtwässrige Systeme, hier gilt für ein beliebiges, protonierbares Lösungsmittel "Y":


title: Säurekonstante

text: "K" ist die mit [Y] multiplizierte Gleichgewichtskonstante dieser Reaktion und damit ein Maß für die Stärke einer Säure. Je stärker die Säure, desto mehr ist die Reaktion auf die rechte Seite verschoben; d. h., umso höher sind die Konzentrationen von HY und A. Die Gleichgewichtskonstante wird meist als ihr negativer dekadischer Logarithmus, der p"K"-Wert, angegeben (auch p"K", von engl. "acid" = Säure). Das bedeutet: Je kleiner der p"K"-Wert ist, desto stärker ist die Säure.


title: Säurekonstante

text: Die Säurekonstante leitet sich als Gleichgewichtskonstante einer chemischen Reaktion aus der Gibbs-Energie formula_3 (auch "Freie Enthalpie") her. Ist diese bekannt, so gilt für die Gleichgewichtskonstante formula_4 einer beliebigen chemischen Reaktion:


title: Säurekonstante

text: wobei formula_6 die Universelle Gaskonstante, formula_7 die Temperatur und formula_8 die eulersche Zahl ist. Die Formel beschreibt so auch die beobachtbare Temperaturabhängigkeit der Säurekonstanten.


title: Säurekonstante

text: formula_4 ist dabei als Produkt der Aktivitäten definiert und ist eine Größe der Dimension Zahl. Werden Mischungseffekte vernachlässigt, gilt formula_10. Dies ist in Lösungen bis 1 mmol/l ohne größere Fehler möglich. Konstanten können daher mit den Aktivitäten wie auch mit den Konzentrationen aufgestellt werden. Sie besitzen jedoch einen anderen Zahlenwert. Bedingt durch die historische Entwicklung der Chemie aus einer praktischen Wissenschaft werden meist die konzentrationsbezogenen Konstanten angegeben, da diese experimentell vor der thermodynamischen Begründung gefunden wurden.


title: Säurekonstante

text: Die Eigenschaft eines bestimmten Stoffes, als Säure zu reagieren, ist untrennbar verknüpft mit seiner "potentiellen Fähigkeit", ein Proton (H) "an einen Reaktionspartner zu übertragen". Man nennt eine solche Reaktion Protolyse. Die "Stärke" einer Säure beschreibt das "Ausmaß dieser Fähigkeit". Diese ist jedoch abhängig von der Fähigkeit eines Reaktionspartners, das Proton aufzunehmen. Soll die Säurenstärke verschiedener Säuren verglichen werden, ist es sinnvoll, die Wechselwirkung mit einem Standardreaktionspartner zu betrachten. Dieser ist in der Regel das Wasser, das auch in vielen Vorgängen in der Natur die bedeutsamste Verbindung und Lösemittel ist. Die Reaktionsgleichung einer Säure HA in und mit Wasser kann so dargestellt werden:


title: Säurekonstante

text: In dieser Reaktion stellt sich schnell ein Gleichgewicht ein. Hier verfügt neben HA auch HO über die Fähigkeit, ein Proton an einen Reaktionspartner zu übertragen: Sie sind beide Säuren. HO und auch A haben hingegen die Fähigkeit, ein Proton aufzunehmen, weswegen man sie beide als Basen bezeichnet. Trennt man gedanklich die Standardreaktionspartner Wasser und HO ab, bleiben HA und A übrig. Da die Konzentrationen dieser Komponenten an ein Gleichgewicht gebunden sind, ist das "Ausmaß" der Fähigkeit von HA, eine Säure zu sein, gekoppelt an das "Ausmaß" der Fähigkeit von A, eine Base zu sein. Hat beispielsweise HA ein großes Potenzial, ein Proton abzugeben, und A ein kleines Potenzial, ein Proton anzunehmen, nennt man HA eine starke Säure. Das Gleichgewicht (1) würde auf der rechten Seite stehen. Wenn die Säure HA ein großes Potential hat, ein Proton abzugeben (also einen niedrigen p"K"-Wert), dann hat ihre korrespondierende Base A ein in dem Maße geringes Potential (also einen hohen p"K"-Wert), ein Proton aufzunehmen. Für Wasser z. B. gilt:


title: Säurekonstante

text: Die Säurekonstante (bzw. der p"K"-Wert) ist ein Maß für die Stärke einer Säure. Die "Acidität" ist umso größer, je geringer ihr p"K"-Wert ist. Der p"K"-Wert ist numerisch gleich dem pH-Wert einer Lösung, wenn HA und A nach Gleichgewicht (1) in gleicher Konzentration vorliegen.


title: Säurekonstante

text: In wässrigen Lösungen protolysieren sehr starke Säuren und sehr starke Basen vollständig zu HO- bzw. OH-Ionen. So lassen sich die unterschiedlichen Säurestärken von Chlorwasserstoff und Perchlorsäure in Wasser nicht mehr anhand des pH-Wertes unterscheiden. Hier spricht man vom nivellierenden Effekt (v. frz.: "niveler" = gleichmachen) des Wassers. Um auch sehr starke Säuren bezüglich der Säurestärke unterscheiden zu können, bestimmt man Gleichgewichtskonstanten in nichtwässrigen Lösungen und überträgt diese annäherungsweise auf das Lösungsmittel Wasser.


title: Säurekonstante

text: Der Standardreaktionspartner Wasser hat die besondere Eigenschaft, als Säure "und" Base reagieren zu können:


title: Säurekonstante

text: Diese sogenannte Autoprotolyse erlaubt die Bestimmung des "Ausmaßes" der Fähigkeit einer Base, ein Proton vom Wasser zu übernehmen, und wird unter Basenkonstante näher erläutert.


title: Säurekonstante

text: Entsprechend ihrer Stärke hat man die Säuren und Basen grob in Bereiche eingeteilt, wobei in der Literatur unterschiedliche Einteilungen existieren. Zusätzlich werden einige Säuren als Supersäuren bezeichnet.


title: Säurekonstante

text: Zwischen einer Säure HA und ihrer Base A liegt "in wässriger Lösung" folgende Gleichgewichtsreaktion vor:


title: Säurekonstante

text: Nach dem Massenwirkungsgesetz wird die Lage des Gleichgewichtes durch die Gleichgewichtskonstante "K" beschrieben:


title: Säurekonstante

text: Da die Konzentration von Wasser ("c"(HO)) bei der Reaktion praktisch konstant bleibt, lässt sich "c"(HO) in die Konstante "K" einbeziehen. Damit ergibt sich schließlich die Säurekonstante "K" mit der Einheit mol/l:


title: Säurekonstante

text: Je kleiner der p"K"-Wert, desto stärker ist die Säure. So hat zum Beispiel Salpetersäure (HNO, Dissoziationsgrad von 96 % bei einer Konzentration von 1 mol/l) den p"K"-Wert −1,32, Essigsäure (Dissoziationsgrad von 0,4 % bei einer Konzentration von 1 mol/l) einen p"K"-Wert von 4,75.


title: Säurekonstante

text: Entsprechend gibt es eine Basenkonstante (p"K"-Wert). Je kleiner der p"K"-Wert, desto stärker das Bestreben der Base, Protonen aufzunehmen. Den p"K"-Wert kann man auf die Basenkonstante der korrespondierenden Base umrechnen:


title: Säurekonstante

text: Säure- und Basenkonstanten sind temperaturabhängig. In der Regel werden die Konstanten bei Temperaturen im Bereich von 23 bis 25 Grad Celsius bestimmt. In diesem Bereich ergibt das Ionenprodukt des Wassers ausreichend genau


title: Säurekonstante

text: Bei einer mehrprotonigen Säure besteht eine schrittweise Protolyse. Für jede Protolysationsstufe liegt eine eigene Säurekonstante bzw. p"K"-Wert vor. Für die einzelnen Protolyseschritte gilt im Allgemeinen: "K" > "K" > "K" (bzw. p"K" < p"K" < p"K"), da aus der steigenden Ionenladung des entstehenden Säurerestanions die weiterführende Protolyse weniger energetisch begünstigt ist.


title: Säurekonstante

text: Beim pH-Wert 7,20 liegen näherungsweise gleich große Konzentrationen an Dihydrogen- und Hydrogenphosphat-Ionen vor, die Konzentrationen an undissoziierter Phosphorsäure und Phosphationen sind millionenfach kleiner. Diese Zusammenhänge macht man sich in Phosphatpuffern zu Nutze.


title: Säurekonstante

text: Konzentrierte Schwefelsäure wird in Blei-Akkumulatoren als Elektrolyt verwendet. Unter diesen Gleichgewichtsbedingungen existieren keine freien Sulfat-Ionen mehr.


title: Säurekonstante

text: Die p"K"-Werte von Säuren mit Werten im Bereich von 4 bis etwa 10 lassen sich über Säure-Base-Titrationen und die Bestimmung des pH-Werts am Halbäquivalenzpunkt bestimmen. Hier liegen die Säure und ihre korrespondierende Base in gleicher Konzentration vor. An diesem Punkt folgt aus der Henderson-Hasselbalch-Gleichung: pH = p"K".


title: Säurekonstante

text: Einige Substituenten besitzen sowohl mesomere als auch induktive Effekte, etwa die Halogene oder Nitrogruppen. Halogene weisen einen starken −I-, aber einen schwachen +M-Effekt auf; die Nitrogruppe wirkt sowohl elektronenanziehend (−I-Effekt) als auch über einen −M-Effekt, d. h. beide Effekte wirken in dieselbe Richtung.


title: Britannia (Schiff, 1953)

text: Die Britannia war die 83. Königliche Yacht von Großbritannien seit der Wiedereinsetzung von König Karl II. im Jahr 1660. Heute ist sie zusammen mit einer Ausstellung über das Schiff im Hafen von Leith bei Edinburgh in Schottland zu besichtigen.


title: Britannia (Schiff, 1953)

text: Die "Britannia" wurde auf der Werft John Brown & Company Ltd. in Clydebank (Schottland) gebaut. Nach ihrem Stapellauf am 16. April 1953 und ihrer Taufe durch Königin Elisabeth II. wurde sie am 11. Januar 1954 in Dienst gestellt. Während ihres Dienstes als Königliche Motoryacht (sie wurde so konstruiert, dass sie im Kriegsfall zum Hospitalschiff umgebaut werden konnte, was allerdings nie genutzt wurde) beförderte sie die Königin, weitere Mitglieder der königlichen Familie und verschiedene andere Würdenträger zu 696 Besuchen im Ausland und zu 272 Visiten in Großbritannien. Prinz Charles und Diana Frances Spencer verbrachten 1981 ihre Flitterwochen auf der "Britannia". Mit der Yacht wurden 1986 in Aden über 1.000 Flüchtlinge des Jemenitischen Bürgerkriegs evakuiert. Außerdem sollte die "Britannia" der königlichen Familie im Falle eines Atomkriegs als sicherer Rückzugsort dienen.


title: Britannia (Schiff, 1953)

text: 1997 nahm die Conservative Party unter John Major den Austausch der "Britannia" gegen ein moderneres Schiff in ihr Wahlprogramm auf. Nach dem Wahlsieg der Labour Party am 1. Mai 1997 wurde bekanntgegeben, dass die "Britannia" zwar außer Dienst gestellt, aber nicht durch ein neues Schiff ersetzt werden soll. Hauptgrund für diese Entscheidung waren die laufenden Betriebskosten von rund 30 Millionen Euro jährlich, die von den britischen Steuerzahlern aufgebracht wurden. Die königliche Familie lehnte es ab, diese Kosten ganz oder teilweise selbst zu tragen.


title: Britannia (Schiff, 1953)

text: Die letzte offizielle Mission der "Britannia" bestand darin, Chris Patten – den letzten britischen Gouverneur Hongkongs – zusammen mit Prinz Charles nach der Übergabe der Kronkolonie an die Volksrepublik China aus der Stadt zu bringen.


title: Britannia (Schiff, 1953)

text: Die "Britannia" wurde am 11. Dezember 1997 außer Dienst gestellt. Königin Elisabeth II. nahm zusammen mit den meisten älteren Mitgliedern der königlichen Familie an der Zeremonie teil. Die sonst eher reservierte Monarchin vergoss öffentlich eine Träne, als sie zum letzten Mal von Bord ging.


title: Britannia (Schiff, 1953)

text: Die "Britannia" liegt heute als Museumsschiff im Hafen von Leith bei Edinburgh in Schottland. Man erreicht das Schiff durch eine Ausstellung über die Geschichte und den Bau des Schiffs im Ocean-Terminal-Einkaufszentrum. Die "Britannia" kann außerdem für Konferenzen und Bankette gemietet werden. 2006 feierte die Schweizer Filmschauspielerin Ursula Andress ihren 70. Geburtstag auf der "Britannia".


title: Britannia (Schiff, 1953)

text: Bei der Wahl des Liegeplatzes hatte Edinburgh mit Glasgow konkurriert, wo die Motoryacht gebaut wurde.


title: Britannia (Schiff, 1953)

text: Das Schiff ist seit 1960 Namensgeber für Mount Britannia, den höchsten Berg der Rongé-Insel in der Antarktis.


title: Britannia (Schiff, 1953)

text: Das oberste Deck umfasst die Räumlichkeiten der königlichen Familie, wobei Königin und Prinzgemahl in eigenen Räumen schliefen, da es auf dem ganzen Schiff ursprünglich ausschließlich Einzelbetten gab. Das einzige Doppelbett auf dem ganzen Schiff ließ Prinz Charles 1981 für seine Flitterwochen mit Diana an Bord bringen. Der Königin und ihrem Gatten standen außerdem jeweils ein eigener "Sitting Room" zur Verfügung, welche eine Art Büro, aber auch ein kleines Wohnzimmer darstellten. Der Abschluss der Räumlichkeiten des Oberdecks stellt eine Veranda dar. Dies soll der Lieblingsraum von Königin Elisabeth II. an Bord gewesen sein. Hinter der Veranda schließt sich nur noch das Sonnendeck an, dessen Holzboden jeden Morgen geputzt werden musste.


title: Britannia (Schiff, 1953)

text: Unterhalb des Oberdecks liegt das Hauptdeck. Dieses umfasst den "Dining Room", den "Drawing Room" sowie den "Ante Room". Beim Dining Room handelt es sich um einen verhältnismäßig großen Saal, welcher auch für Videovorführungen und Installation eines Tanzbodens geeignet war. Beim "Ante Room" handelt es sich um den Empfangsraum, und der "Drawing Room" selbst war das eigentliche Wohnzimmer der königlichen Familie. Da bewegliche Innenwände verwendet wurden, ist es möglich, diese Räume teilweise zu größeren Räumen zusammenzulegen. Des Weiteren befinden sich auf dieser Ebene die Gästekabinen, welche sehr luxuriös ausgestattet sind, sowie die Küche.


title: Britannia (Schiff, 1953)

text: In den darunter liegenden Decks befinden sich die spartanisch ausgestatteten Kabinen des Personals und der Wachmannschaft, welche aus Royal Marines bestand. Hier waren auch eine Bar und Aufenthaltsräume für die Besatzung sowie eine große Wäscherei untergebracht.


title: Britannia (Schiff, 1953)

text: Als man die "Britannia" plante, wurden zwei grundverschiedene Antriebssysteme in Betracht gezogen: Einerseits ein Dieselantrieb und andererseits Dampfturbinen. Einer der Hauptvorteile dieses Antriebs aus ölbefeuerten Dampfturbinen ist die wesentlich höhere Geschwindigkeit im Gegensatz zu anderen Schiffsantrieben. Obwohl bei der "Britannia" nur eine relativ geringe Geschwindigkeit geplant war (23 Knoten, konnte in der Seeerprobung erreicht werden), wurde doch den Dampfturbinen der Vorzug gegeben, da man bei der Konstruktion des Schiffes höchste Priorität auf einen möglichst vibrationsarmen und damit für die Gäste komfortablen Antrieb setzte.


title: Britannia (Schiff, 1953)

text: Der Nachteil des Turbinenantriebs ist der hohe Treibstoffverbrauch, besonders bei Teillast (Marschfahrt). Dies zeigt sich auch in der recht geringen Reichweite des Schiffes. Die Antriebsanlage besteht aus zwei Wellen, welche von jeweils einer Hoch- und einer Niederdruckdampfturbine angetrieben wurden. Die erzielte Leistung lag bei rund 4.400 kW (6.000 PS) pro Welle, also eine Gesamtantriebsleistung von 8,8 MW (12.000 PS). Die Erzeugung des Dampfes für die Dampfturbinen erfolgte in zwei ölbefeuerten Hauptkesseln. Daneben stand ein kleinerer Hilfskessel für den Betrieb im Hafen oder zur Unterstützung der Hauptkessel zur Verfügung.


title: Britannia (Schiff, 1953)

text: Auf See erfolgte die Stromversorgung mit Hilfe von drei Dampfgeneratoren mit jeweils 500 kW Leistung, die mit Dampf aus der Antriebsanlage gespeist wurden. Des Weiteren befand sich ein kleiner Dieselgenerator von 270 kW Leistung an Bord, der das Schiff mit elektrischer Energie versorgte, wenn die Dampfkessel nicht in Betrieb waren. Das Schiff war auch noch mit einem 60 kW Notdieselaggregat ausgerüstet, das für einen Totalausfall aller anderen an Bord befindlichen Generatoren konzipiert wurde. Das Stromnetz an Bord arbeitet mit einer Spannung von 225 Volt Gleichstrom. Darüber hinaus steht zum Betrieb bestimmter Geräte auch Wechselstrom zur Verfügung.


title: Britannia (Schiff, 1953)

text: Zur Navigation war die "Britannia" mit einem Navigationsradar vom Typ 974, einem Echolot sowie mit Decca-Navigationssystem und LORAN-Navigation ausgerüstet.


title: Firewall

text: Eine Firewall (von [] ‚Brandwand‘ oder ‚Brandmauer‘) ist ein Sicherungssystem, das ein Rechnernetz oder einen einzelnen Computer vor unerwünschten Netzwerkzugriffen schützt. Weiter gefasst ist eine Firewall auch ein Teilaspekt eines Sicherheitskonzepts.


title: Firewall

text: Jedes Firewall-Sicherungssystem basiert auf einer Softwarekomponente. Die Firewall-Software dient dazu, den Netzwerkzugriff zu beschränken, basierend auf Absender oder Ziel und genutzten Diensten. Sie überwacht den durch die Firewall laufenden Datenverkehr und entscheidet anhand festgelegter Regeln, ob bestimmte Netzwerkpakete durchgelassen werden oder nicht. Auf diese Weise versucht sie, unerlaubte Netzwerkzugriffe zu unterbinden.


title: Firewall

text: Abhängig davon, wo die Firewall-Software installiert ist, wird unterschieden zwischen einer "Personal Firewall" (auch "Desktop Firewall") und einer "externen Firewall" (auch "Netzwerk-" oder "Hardware-Firewall" genannt). In Abgrenzung zur Personal Firewall arbeitet die Software einer externen Firewall nicht auf dem zu schützenden System selbst, sondern auf einem separaten Gerät, das Netzwerke oder Netzsegmente miteinander verbindet und dank der Firewall-Software gleichzeitig den Zugriff zwischen den Netzen beschränkt. In diesem Fall kann „Firewall“ auch als Bezeichnung für das Gesamtsystem stehen (ein Gerät mit der beschriebenen Funktion). Bauartbedingt gibt es große konzeptionelle Unterschiede zwischen den beiden Arten.


title: Firewall

text: Die Funktion einer Firewall besteht nicht darin, Angriffe zu erkennen. Sie soll ausschließlich Regeln für die Netzwerkkommunikation umsetzen. Für das Aufspüren von Angriffen sind sogenannte IDS-Module zuständig, die durchaus auf einer Firewall aufsetzen und Bestandteil des Produkts sein können. Sie gehören jedoch nicht zum Firewall-Modul.


title: Firewall

text: Für das Verständnis der Funktionsweise einer Firewall ist das folgende Grundlagenwissen hilfreich. Die jeweiligen Hauptartikel stellen die Themen im Detail dar.


title: Firewall

text: Ein Netzwerkdienst ist ein Computerprogramm, das den Zugriff auf Ressourcen wie Dateien und Drucker über ein Netzwerk ermöglicht. Beispielsweise sind Internetseiten als Dateien auf einem Computer (Server) abgelegt. Erst ein auf dem Server laufender Netzwerkdienst (hier eine Webserver-Software) ermöglicht es, aus dem Internet heraus auf die Seiten zuzugreifen und sie so auf einem entfernten Gerät zu laden und anzuzeigen. Damit Netzwerkdienste vom Netzwerk aus erreichbar sind, binden sie sich an je einen Port der Netzwerkschnittstelle. Man spricht davon, dass sie „einen "Port öffnen"“, was im Umkehrschluss bedeutet, dass ein offener Port immer zu einem Computerprogramm gehört, das Netzwerkanfragen entgegennehmen kann.


title: Firewall

text: Eine Sicherheitslücke in einem Netzwerkdienst kann die Basis dafür liefern, um über die zulässigen Zugriffsfunktionen hinaus Aktionen auf dem Computer auszuführen.


title: Firewall

text: Hinweis: Ein "Dienst" (unter Microsoft Windows ; unter Unix ) zeichnet sich dadurch aus, dass er bei jedem Systemstart ausgeführt wird, unabhängig davon, ob sich ein Anwender an dem Computer anmeldet. Es gibt Programme mit einer dem Netzwerkdienst entsprechenden Funktionalität, die also einen Port öffnen, jedoch erst nach der Benutzeranmeldung gestartet werden. Obgleich diese Programme genau genommen keine Dienste sind, werden sie der Einfachheit halber im Folgenden ebenfalls als Netzwerkdienst betitelt.


title: Firewall

text: Der Rückweg vom entfernten Netzwerkdienst hin zum anfragenden PC (genauer dem Client), der auf den Dienst zugreift, lässt sich mitunter für einen übergreifenden Fernzugriff nutzen. Um bei dem obigen Beispiel zu bleiben, startet der Anwender einen Browser, der auf seinem PC Webseiten aus dem Internet darstellen soll. Enthält der Browser eine entsprechende Sicherheitslücke, so kann der kontaktierte Internetserver nun auf diesen PC zugreifen und dort Aktionen ausführen, die über die normale Anzeige von Internetseiten hinausgehen. Im schlimmsten Fall genügt der bloße Aufruf einer entsprechend präparierten Internetseite, um sogar heimlich eine Schadsoftware auf dem PC zu installieren. Eine Schadsoftware kann wiederum als Netzwerkdienst auf dem PC arbeiten und so einen ständigen Fernzugriff auf den PC ermöglichen.


title: Firewall

text: Statt einen Netzwerkdienst auf den PC zu installieren, kann die Schadsoftware auch von sich aus eine Verbindung zum Internet herstellen und sich mit einem Netzwerkdienst verbinden, der im Internet betrieben wird. Beispielsweise läuft ein Botnet meist auf diese Weise. In einem solchen Fall wird der Rückweg für einen ständigen Fernzugriff auf den PC benutzt.


title: Firewall

text: Für die Kommunikation im Netz benötigen die beteiligten Rechner – beziehungsweise die auf ihnen installierten Dienste ("Kommunikationspartner") – Kenntnis über die grundlegenden Protokolle, die für die Adressierung und den Transport von Daten verwendet werden. Mitunter kann eine fehlerhaft implementierte Netzwerkanbindung des Betriebssystems (inklusive fehlerhafter Treiber-Software) für einen Netzwerkzugriff genutzt werden, der in dieser Form vom Hersteller nicht vorgesehen war. Ein Beispiel für die Ausnutzung eines ehemals weitverbreiteten Fehlers in der Implementierung des IP-Protokolls stellt Ping of Death dar, der das Zielsystem gezielt zum Absturz brachte. Ähnliche Lücken ermöglichen es mitunter auch, Programmcode auf dem Zielsystem einzuschleusen und auszuführen.


title: Firewall

text: Eine Firewall dient dazu, ungewollte Zugriffe auf Netzwerkdienste zu unterbinden. Sie orientiert sich dabei an den Adressen der Kommunikationspartner (also „wer darf worauf zugreifen“). In der Regel kann eine Firewall nicht die Ausnutzung einer Sicherheitslücke in dem Netzwerkdienst verhindern, wenn der Kommunikationspartner darauf zugreifen darf.


title: Firewall

text: Bei der Ausnutzung des Rückwegs kann eine Firewall nicht vor dem Zugriff auf Sicherheitslücken des Browsers schützen, wenn der Kommunikationspartner auf die gefährdeten Bereiche des Programms zugreifen kann. Daher sollten Programme, die für den Netzwerkzugriff bestimmt sind, auf dem aktuellen Stand gehalten werden, um bekannte Sicherheitslücken dort zu schließen. Einige Firewalls bieten Filter an, die den Fernzugriff auf den genutzten Netzwerkdienst weiter einschränken, indem beispielsweise die Filterung von gefährdeten ActiveX-Objekten aus Webseiten vorgenommen wird. Der Browser kann dann auf solche in einer Webseite eingebetteten Objekte nicht mehr zugreifen (er zeigt sie nicht an), was gleichzeitig bedeutet, dass er über diese Objekte nicht angegriffen werden kann. Alternativ dazu lässt sich dieses Verhalten auch über die Konfiguration des verwendeten Browsers erreichen.


title: Firewall

text: Je nach Firewall-Typ kann eine Firewall im günstigsten Fall auf den Netzwerkzugriff einer heimlich installierten Schadsoftware aufmerksam machen und mitunter sogar deren Netzwerkzugriff unterbinden. Ein solcher Erfolg ist allerdings stark von dem Geschick der jeweiligen Schadsoftware abhängig (siehe dazu die Grenzen der Personal Firewall und der externen Firewall).


title: Firewall

text: Die Ausnutzung von Fehlern in der Netzwerkimplementierung des Betriebssystems kann eine Firewall im günstigsten Fall abwehren.


title: Firewall

text: Die aufgezeigten Grenzen einer Firewall im Vergleich zum Nutzen lassen sich mit dem Sicherheitsgurt eines Automobils vergleichen, für den es ebenfalls Szenarien gibt, in denen er den Fahrer nicht zu schützen vermag. Es ist sinnvoll, den Gurt anzulegen und gleichzeitig mit dem Wissen um seine Grenzen vorsichtig zu fahren. Eine Ausnahme könnte ein Gurt bilden, der den Autofahrer gleichzeitig gefährdet (hier mit Bezug zur Personal Firewall), was unter Umständen dazu führen kann, dass alternative Lösungen eine höhere Sicherheit bieten.


title: Firewall

text: Erst wenn bekannt ist, gegenüber welchen Szenarien ein bestimmtes Maß an Sicherheit erreicht werden soll, kann man sich Gedanken über die Art und Weise machen, wie dies umgesetzt wird. Dabei hilft die Erstellung eines Sicherheitskonzepts. In größeren Organisationen kommt dafür üblicherweise eine eigene Sicherheitsrichtlinie zum Einsatz.


title: Firewall

text: Die Firewall ist ein Teilaspekt des Sicherheitskonzepts. So wie „Brandschutz“ ein Bündel von Maßnahmen ist (und nicht allein der Rauchmelder im Treppenhaus), kann dieser Teilaspekt je nach Sicherheitskonzept ein Bündel mehrerer Maßnahmen sein. Die Firewall kann aus mehreren Komponenten bestehen, von denen einige beispielsweise eine DMZ versorgen. Ebenso kann die Wartung ein fester Bestandteil des Teilaspekts sein, genauso wie die Auswertung der Protokollierung von Firewallkomponenten.


title: Firewall

text: Die einfache Filterung von Datenpaketen anhand der Netzwerkadressen ist die Grundfunktion aller Firewalls (in einem TCP/IP-Netz ist damit genauer die Filterung des Ports und der IP-Adresse des Quell- und Zielsystems gemeint).


title: Firewall

text: Diese zustandsgesteuerte Filterung ist eine erweiterte Form der Paketfilterung. Damit gelingt es, den Zugriff auf eine etablierte Verbindung genauer zu beschränken und so das interne Netz besser vor ungewollten Zugriffen von außen zu schützen.


title: Firewall

text: Ein Proxyfilter stellt stellvertretend für den anfragenden Client die Verbindung mit dem Zielsystem her und leitet die Antwort des Zielsystems an den tatsächlichen Client weiter. Da er die Kommunikation selbst führt, kann er sie nicht nur einsehen, sondern auch beliebig beeinflussen. Auf ein bestimmtes Kommunikationsprotokoll spezialisiert, wie z. B. HTTP oder FTP, kann er so die Daten zusammenhängend analysieren, Anfragen filtern und bei Bedarf beliebige Anpassungen vornehmen, aber auch entscheiden, ob und in welcher Form die Antwort des Ziels an den tatsächlichen Client weitergereicht wird. Mitunter dient er dazu, bestimmte Antworten zwischenzuspeichern, damit sie bei wiederkehrenden Anfragen schneller abrufbar sind, ohne sie erneut anfordern zu müssen. Auf einem einzigen Gerät kommen oft mehrere solcher Filter parallel zum Einsatz, um unterschiedliche Protokolle bedienen zu können.


title: Firewall

text: Dieser Inhaltsfilter ist eine Form des Proxyfilters, der die Nutzdaten einer Verbindung auswertet und zum Beispiel dafür gedacht ist, ActiveX und/oder JavaScript aus angeforderten Webseiten herauszufiltern oder allgemein bekannte Schadsoftware beim Herunterladen zu blockieren. Auch das Sperren von unerwünschten Webseiten anhand von Schlüsselwörtern und Ähnliches fallen darunter.


title: Firewall

text: Mittels Deep Packet Inspection können weitergehende, insbesondere protokollspezifische Informationen analysiert werden. Dadurch wird es möglich, Regeln zu verwenden basierend auf URLs, Dateinamen, Dateiinhalten (Virenscan oder Data Loss Prevention) und ähnlichem. Dies ähnelt den Möglichkeiten eines Proxies oder eines Content-Filters, deckt in der Regel aber zahlreiche Protokolle ab.


title: Firewall

text: Um auch verschlüsselte Verbindungsdaten und Inhalte analysieren zu können, wird "SSL Deep Packet Inspection" eingesetzt, das eine bestehende SSL-Verschlüsselung terminiert, die Inhalte untersucht und anschließend für den Client wieder neu verschlüsselt. Dazu ist es in der Regel notwendig, auf dem Client ein CA-Root-Zertifikat zu installieren, das es der Firewall erlaubt, im laufenden Betrieb passende Zertifikate selbst zu generieren. Technisch entspricht dies einem Man-in-the-Middle-Angriff.


title: Firewall

text: Um Netzwerkpakete filtern zu können, muss sich die Firewall zwischen den Kommunikationspartnern befinden. Dabei kann sie den Kommunikationspartnern gegenüber auf unterschiedliche Weise in Erscheinung treten, wobei die ersten vier Erscheinungsformen nur auf einer externen Firewall vorkommen können:


title: Firewall

text: Die Firewall stellt sich als Vermittlungsstelle für beide Seiten sichtbar zwischen das Quell- und Zielsystem. Hier bittet der Client die Proxy-Firewall, stellvertretend für ihn die Kommunikation mit dem Zielsystem zu übernehmen. So wird beispielsweise der Webbrowser so konfiguriert, dass er sämtliche Internetanfragen nicht direkt zur jeweiligen Zieladresse schickt, sondern als Anforderung zum Proxy sendet. Der Proxy nimmt nun die Verbindung zum Zielsystem auf. Erst nach erfolgter Analyse gibt der Proxy die Antwort des Zielsystems an den anfragenden Client weiter.


title: Firewall

text: Eine der beiden Seiten adressiert hier direkt das Ziel und nicht die Firewall. Durch eine entsprechend konfigurierte Infrastruktur des Netzes wird die betreffende Anfrage dort automatisch über die (NAT- oder Proxy-)Firewall geleitet, ohne dass der Absender dies bemerkt oder gar beeinflussen kann. Die Verbindung zur anderen Seite wird nun über die Adresse der Firewall hergestellt. Mögliche Angriffe von dort sind auch hier an die Firewall gerichtet und treffen nicht direkt den Client. Denn für diese Seite stellt die Firewall den zu adressierenden Kommunikationspartner dar, der stellvertretend für den tatsächlichen Kommunikationspartner angesprochen wird. Diese Form ist die am häufigsten verbreitete Art bei Firewall-Geräten für den Heimbereich.


title: Firewall

text: Hierbei legt sich die Firewall transparent (nahezu unsichtbar) zwischen beide Netzwerke und ermöglicht so eine durchgehende Verbindung der Kommunikationspartner, sodass sich die Systeme vor und hinter der Firewall direkt sehen können. Der Datenstrom fließt einfach durch die Firewall hindurch. Auf der Ebene der IP-Adressierung sieht die Gegenstelle die Firewall also nicht als Kommunikationspartner, sondern erkennt diese lediglich als Verbindungsglied zwischen den Subnetzen (Router ohne NAT). Dennoch kann die auf dem Netzwerkgerät (Router) laufende Firewall-Software den Datenstrom unterbrechen (bestimmte Pakete herausfiltern).


title: Firewall

text: Genau wie bei dem beidseitig transparenten Modus fließt hier der Datenstrom einfach durch die Firewall hindurch. Das Gerät, auf dem die Firewall-Software läuft, arbeitet nun aber wie eine Bridge, wodurch sie für die Kommunikationspartner weder auf IP-Ebene noch aus Sicht der Low-Level-Adressierung sichtbar ist.


title: Firewall

text: Eine lokal auf dem Computer installierte Firewall-Software (Personal-Firewall) überwacht den durch sie hindurch fließenden Datenstrom vor Ort (auf dem Computer, dessen Netzwerkpakete sie filtern soll; in diesem Absatz "Quellsystem" genannt). Aus Sicht des Zielsystems liegt die Firewall also hinter dem Netzwerkadapter des Quellsystems. Dadurch verändert sich weder die Netzwerkadresse des Quellsystems noch der Kommunikationsweg zum Zielsystem. Somit ist auch die Personal Firewall aus Sicht der Adressierung praktisch unsichtbar. Das bezieht sich jedoch lediglich auf den Kommunikationsweg und bedeutet nicht, dass sie sich nicht aufspüren lässt (aufgrund des Verhaltens des Quellsystems) oder über die Adresse des Quellsystems nicht direkt angreifbar wäre (im Gegensatz zur externen Bridge-Firewall, die keine Netzwerkadresse besitzt).


title: Firewall

text: Die Regeln einer Firewall legen fest, was mit einem Netzwerkpaket passieren soll, das in das Muster eines Filters passt. Die Aktionen können je nach Produkt unterschiedlich betitelt sein. Entweder ist die Anfrage nicht erlaubt und das Paket wird lokal verworfen (meist DROP genannt) oder sie wird aktiv abgelehnt (REJECT), indem sie beispielsweise mit einem ICMP-Paket beantwortet wird. Eine erlaubte Anfrage nennt man ACCEPT, ALLOW, PASS oder FORWARD, wobei FORWARD je nach Produkt und Konfiguration auch auf eine Umleitung der Anfrage hindeuten kann.


title: Firewall

text: Bei Softwareprodukten ist eine freie Einsicht in deren Quellcode ein Aspekt der Computersicherheit. Dabei gilt es unter anderem, die Gefahr zu minimieren, dass ein Produkt Funktionalitäten enthalten kann, von denen der Anwender nichts wissen soll. So gibt es beispielsweise einige Closed-Source-Produkte aus dem Bereich der Personal Firewalls, die selbst heimlich Daten zum Hersteller schicken, also genau das tun, was einige Anwender mit dem Produkt eigentlich zu verhindern suchen. Quelloffene Software lässt sich von der Öffentlichkeit dahingehend überprüfen und darüber hinaus mit rechtlich unbedenklichen Mitteln auf Schwachstellen untersuchen, die auf diese Weise schneller geschlossen werden können. Dabei sind quelloffene Lizenzmodelle nicht mit kostenloser Software gleichzusetzen; "Open Source" genauso wie "Freie Software" umfassen auch kommerzielle Produkte ("Freie Software" ist nicht dasselbe wie "Freeware").


title: Firewall

text: Je nach ihrem Einsatzort unterscheidet man zwei Arten von Firewalls. "Personal Firewalls" sind Programme, die auf dem Computer laufen, den sie schützen sollen. "Externe Firewalls" sind dem zu schützenden Computer bzw. Computernetzwerk physisch vorgeschaltet.


title: Firewall

text: → "Hauptartabschnitt: Personal Firewall (auch Desktop Firewall) und Externe Firewall (auch Netzwerk- oder Hardware-Firewall)"


title: Firewall

text: Beide Firewallarten können als eine Ergänzung zueinander betrachtet werden. Man kann nicht pauschal sagen, dass eine der beiden durch die jeweils andere Art ersetzbar wäre, da es große konzeptionelle Unterschiede gibt:


title: Firewall

text: Eine Personal Firewall ist nicht pauschal besser oder schlechter als eine externe Firewall, sondern vor allem anders. In all den Punkten, in denen sich die Funktionalitäten jedoch gleichen, ist die externe Firewall zuverlässiger. Denn ein derart spezialisiertes Gerät bietet vorwiegend ein sicherheitsoptimiertes und netzwerkseitig stabiles System, das dank der physischen Trennung zu dem zu schützenden Computersystem nicht so einfach manipuliert oder sogar deaktiviert werden kann.


title: Firewall

text: Als "Personal Firewall" oder "Desktop Firewall" wird eine lokal auf dem Computer installierte Firewall-Software bezeichnet. Zu ihrer Aufgabe gehört es, ungewollte Zugriffe von außen auf Netzwerkdienste des Computers zu unterbinden. Abhängig vom Produkt kann sie zudem versuchen, Anwendungen davon abzuhalten, ohne das Einverständnis des Anwenders mit der Außenwelt zu kommunizieren.


title: Firewall

text: Computerwürmer, die einen Sicherheitsfehler in einem Netzwerkdienst ausnutzen, um sich zu verbreiten, können den Computer nur dann infizieren, wenn der entsprechende Netzwerkdienst für den Wurm erreichbar ist. Hier kann eine Personal Firewall den Fernzugriff auf den Netzwerkdienst einschränken und somit eine Infektion erschweren oder sogar verhindern. Gleiches gilt für einen Netzwerkzugriff eines möglichen Eindringlings.


title: Firewall

text: Benötigt wird eine solche Filterung, wenn ein Netzwerkdienst auf dem Computer gestartet wird, der für den Betrieb erforderlich ist und der "Zugriff darauf beschränkt" werden soll. Ein Fernzugriff auf nicht benötigte Netzwerkdienste lässt sich dagegen ohne Firewall verhindern, indem diese Dienste deaktiviert werden.


title: Firewall

text: Darüber hinaus können die Regeln der Personal Firewall im günstigsten Fall unterbinden, dass ein durch eine Schadsoftware heimlich reaktivierter oder installierter Dienst ungehindert vom Netzwerk aus ansprechbar ist. Der Einsatz der Personal Firewall hat sich gelohnt, wenn die (mögliche) Meldung der Firewall-Software dazu genutzt wird, um reaktivierte Dienste nebst Schadsoftware gleich wieder zu entfernen.


title: Firewall

text: Personal Firewalls können vor einigen Computerwürmern schützen, die sich über das Netzwerk verbreiten, bieten darüber hinaus jedoch keinen Schutz vor der Installation einer andersartigen Schadsoftware.


title: Firewall

text: Abhängig vom Produkt und Betriebsmodus kann eine Personal Firewall neu hinzukommende Netzwerkdienste (und Anwendungen mit entsprechender Funktionalität) erkennen und den Anwender fragen, ob ein Fernzugriff darauf erlaubt sein soll. Damit dieser Teil der Schutzfunktion zuverlässig funktioniert, muss zum einen die Firewall-Software durchgängig stabil laufen. Das stellt selbst bei einem nicht-kompromittierten System eine Herausforderung dar. Zum anderen muss der Anwender wissen, was er tut.


title: Firewall

text: Einige Produkte versuchen darüber hinaus Anwendungsprogramme davon abzuhalten, ohne das Einverständnis des Anwenders mit der Außenwelt zu kommunizieren, in der Absicht dabei auch den Netzwerkzugriff einer entsprechenden Schadsoftware zu beschränken. Ein solcher Erfolg der Firewall-Software ist allerdings stark von dem Geschick der jeweiligen Schadsoftware abhängig (in Fachartikeln aus Microsofts "TechNet Magazine" und der c’t wird davor gewarnt, dass die Personal Firewall unerwünschte Netzwerkzugriffe nur unterbinden kann, wenn sich die Schadsoftware keine große Mühe gibt, ihre Aktivitäten zu verbergen). Vergleichen lässt sich diese Art der Schutzwirkung mit einem Gartenzaun, der zwar ein durchaus vorhandenes, aber kein unüberwindbares Hindernis darstellt. Vor allem auf einem kompromittierten System kann die Firewall-Software im Unterschied zum Gartenzaun jedoch plötzlich und unerwartet ausfallen.


title: Firewall

text: Wird eine Schadsoftware auf dem zu schützenden PC entdeckt, lässt sich der Netzwerkzugriff daher effizient durch deren Entfernung unterbinden, statt durch eine Firewall, weil das auch dann noch Wirkung zeigt, wenn die Firewall-Software ausfällt. Innerhalb ihrer Grenzen kann hier die Personal Firewall mitunter dabei helfen zu erkennen, wann eine solche Kommunikation stattfindet.


title: Firewall

text: Programme, die auf derselben Hardware wie die Personal Firewall-Software laufen, haben wesentlich mehr Möglichkeiten diese zu manipulieren und zu umgehen, als bei einer externen Firewall. Ein Absturz oder gar eine dauerhafte Deaktivierung der Firewall-Software durch einen Softwarefehler oder ein Schadprogramm führen dazu, dass ein uneingeschränkter Zugriff auf die zuvor gefilterten Netzwerkdienste möglich wird, mitunter ohne dass der Anwender dies bemerkt. Abhängig vom Produkt und Wissensstand des Anwenders kann auch eine Fehlbedienung diesen Zustand herbeiführen.


title: Firewall

text: Es ist zudem ein Problem des Konzepts, dass sich die Firewall-Software zwischen die normale Netzwerkimplementierung des Betriebssystems und die Außenwelt stellt, wodurch zwar zum Teil nicht mehr die ursprüngliche Netzwerkimplementierung, dafür aber die wesentlich komplexere Firewall-Software direkt angreifbar wird. Die Erfahrung zeigt, dass eine Software mehr Fehler und Angriffspunkte enthält, je komplexer sie ist. So können Personal Firewalls selbst Sicherheitslücken enthalten, die beispielsweise einem Computerwurm erst Ansätze für einen Fernzugriff bieten.


title: Firewall

text: Da die Komponenten einer Personal Firewall (zumindest teilweise) mit erweiterten Rechten laufen und in der Regel Kernel-Komponenten installiert werden, wirken sich Programmier- und Designfehler hier besonders stark auf die Sicherheit, Performance und Stabilität des Computersystems aus. Je nach Produkt können über diese Komponenten auch beispielsweise heimlich Daten zum Hersteller übermittelt und weitere Funktionen geschaffen werden, die der Anwender nicht ausdrücklich wünscht und die es ohne die installierte Firewall-Software nicht gäbe.


title: Firewall

text: Sicherheitstechnisch bedenklich wird der Einsatz einer Personal Firewall, wenn sie beispielsweise für den reibungslosen Betrieb während eines Computerspiels abgeschaltet wird. Auf einem solchen System ergibt der Einsatz einer Personal Firewall keinen Sinn, da die Firewall-Software die verbleibenden Risiken lediglich kaschiert und so selbst zum Sicherheitsrisiko wird (sie gibt dem Anwender in der übrigen Zeit ein Sicherheitsgefühl, das auf diesem System jeglicher Grundlage entbehrt).


title: Firewall

text: Auf Systemen, bei denen eine Personal Firewall bereits ein fester Bestandteil des Betriebssystems ist, kann es durchaus fragwürdig sein, eine weitere Firewall-Software zu installieren. Der Parallelbetrieb kann zu Problemen führen und ist nicht zwingend mit Vorteilen verbunden.


title: Firewall

text: Die Deaktivierung aller nicht benötigten Netzwerkdienste bietet den besten Schutz gegen ungewollte Fernzugriffe. Denn selbst wenn die Firewall-Software ausfällt, kann niemand auf Netzwerkdienste zugreifen, die nicht gestartet wurden. Zudem verlangsamt der Start eines jeden Dienstes die Startgeschwindigkeit des Betriebssystems und sie benötigen danach weiterhin Computerressourcen für ihre Arbeit. Je nach Betriebssystem gibt es mitunter einfach zu bedienende Hilfsmittel, die es auch unerfahrenen Benutzern ermöglichen, nicht benötigte Netzwerkdienste auf eine unkomplizierte Art zu deaktivieren.


title: Firewall

text: Um einen Zugriff auf verbleibende Netzwerkdienste aus dem Internet heraus zu verhindern, sollten sie nicht an den Netzwerkadapter gebunden sein, der an dem Internet angeschlossen ist. Diese Aufgabe ist für einen unerfahrenen Benutzer nicht ganz trivial, weshalb sich der Einsatz eines vermittelnden Gerätes, wie beispielsweise ein DSL-Router, anbietet. Dieses Gerät sorgt automatisch dafür, dass ein Netzwerkdienst nur aus dem internen (privaten) Netz, nicht jedoch aus dem Internet heraus direkt zugreifbar ist (siehe auch „Vorteile bei der Verwendung einer externen Firewall“).


title: Firewall

text: Eine externe Firewall (auch Netzwerk- oder Hardware-Firewall genannt) beschränkt die Verbindung zwischen zwei Netzen. Das könnten beispielsweise ein Heimnetzwerk und das Internet sein.


title: Firewall

text: Die externe Firewall ist dafür prädestiniert, unerlaubte Zugriffe von außen (in der Abbildung das WAN) auf das interne System zu unterbinden. Im Unterschied zur Personal Firewall besteht das interne System hier nicht zwangsläufig aus nur einem einzigen Computer, sondern kann sich auf einen Verbund mehrerer Computer beziehen, die das interne Netz bilden (in der Abbildung das LAN).


title: Firewall

text: Es gibt in der Praxis keine Firewalls, die ausschließlich auf Hardware basieren. Eine Firewall kann zwar auf einem eigenen Betriebssystem laufen und auf unterschiedliche Netzwerkebenen zugreifen, jedoch wird sie dadurch nicht Bestandteil der Hardware. Eine Firewall enthält immer als wesentlichen Bestandteil eine Software.


title: Firewall

text: Der Begriff "Hardware-Firewall" wird vielmehr als Synonym für "externe Firewalls" verwendet. Er soll zum Ausdruck bringen, dass es sich hierbei um eine separate Hardware handelt, auf der die Firewall-Software läuft. Dabei gibt es allerdings Hardware, die für die Verwendung der Firewall-Software optimiert wurde, zum Beispiel indem ein entsprechender Hardware-Entwurf dabei hilft, Teile der Ent- und Verschlüsselung bestimmter Protokolle zu beschleunigen.


title: Firewall

text: Ein direkter Anschluss eines Computers an das Internet (genauer an ein entsprechendes Modem) hat zur Folge, dass alle Computer aus dem Internet auf die an diesem Netzwerkanschluss gebundenen Dienste des Computers zugreifen können, was einen Fernzugriff auf den Computer ermöglicht.


title: Firewall

text: Um Fernzugriffe aus dem Internet zu unterbinden, wäre es eine Lösung, zwischen dem internen (privaten) Netz und dem externen Netz (Internet) zu unterscheiden und benötigte Dienste nur an die Netzwerkschnittstelle des internen Netzes zu binden. Eine im sichtbaren oder einseitig transparenten Modus laufende externe Firewall kann diese Aufgabe übernehmen: Statt des PCs wird die externe Firewall an das Internet angeschlossen, wobei die PCs aus dem internen Netz wiederum mit diesem Gerät vernetzt werden. Die PCs übermitteln ihre Anfragen an das Internet nun an die Firewall, die stellvertretend für die PCs auf das Internet zugreift. Das Zielsystem sieht daher als Absender nur die Firewall, die wiederum die Antwortpakete des Zielsystems an den entsprechenden PC im internen Netz weiterleitet. Je nach Firewall-Typ ist es ihr dadurch möglich, die Netzwerkpakete in beiden Richtungen zu analysieren und zu filtern, noch bevor sie die tatsächlichen Kommunikationspartner erreichen.


title: Firewall

text: Beispielkonfiguration der Abbildung: Der Internetanschluss könnte ein DSL-Anschluss inklusive DSL-Modem sein. Die Firewall könnte dann auf einem DSL-Router installiert sein, der von den PCs im privaten (in sich geschlossenen) Netz als default Gateway angesprochen wird. Das Gerät verwaltet dadurch die Netzwerkanfragen der internen PCs und kann zwischen Anfragen an das interne (private) und externe Netz (Internet) unterscheiden und sie entsprechend weiterleiten. Der Switch verbindet die PCs des internen Netzes miteinander und ist meist in einer solchen Firewall integriert, wird hier aber bewusst als eigenständiges Gerät dargestellt, um zu verdeutlichen, dass eine derartige Firewall nur den Zugriff zwischen dem internen und externen Netz filtert, jedoch keinen Einfluss auf die Kommunikation im internen Netz hat.


title: Firewall

text: Da das Zielsystem aus dem Internet nicht den internen PC, sondern nur die Firewall sieht, sind mögliche Angriffe aus dem Internet an die dafür prädestinierte Firewall gerichtet und treffen nicht direkt den internen PC. Jemand aus dem Internet, der auf der Netzwerkadresse der Firewall nach einem Netzwerkdienst (wie beispielsweise die Datei- und Druckerfreigabe) sucht, wird nicht fündig, da der Dienst auf dem PC und nicht auf der Firewall läuft. Auf diesem Level ist die Firewall also nicht angreifbar und die Netzwerkdienste der internen PCs aus dem Internet heraus nicht erreichbar.


title: Firewall

text: Auch eine Schadsoftware, die womöglich auf dem PC heimlich einen Netzwerkdienst installiert, kann an diesem Zustand nichts ändern. Der Netzwerkdienst ist nur aus dem privaten Netz heraus ansprechbar, nicht jedoch aus dem Internet heraus (die Schadsoftware kann schließlich keinen Dienst auf der Firewall installieren, sondern nur auf dem PC).


title: Firewall

text: Hinweis: Für die beschriebene Funktionalität ist es erforderlich, dass das Firewall-Gerät entsprechend konfiguriert wurde (das zu schützende Computersystem darf nicht als „Standardserver“ oder "Exposed Host" betrieben werden, bzw. sollte es in keiner „DMZ“ stehen, was je nach der Benutzeroberfläche des Firewall-Gerätes meist auch ohne fundierte Fachkenntnisse leicht überprüft und im Bedarfsfall angepasst werden kann).


title: Firewall

text: Im privaten Bereich finden meist Paketfilter-Firewalls Anwendung, die auf einem DSL-Router arbeiten. Sie können einzelne Programme nur sehr bedingt davon abhalten, ohne das Einverständnis des Anwenders mit der Außenwelt zu kommunizieren, denn sie wurden für eine solche Aufgabe nicht konzipiert: Damit ein solches Gerät ohne permanenten manuellen Konfigurationsaufwand funktioniert, muss es in der Lage sein, dynamische Regeln zu erstellen. Abgesehen von Anfragen auf explizit gesperrten Adressen und gesperrten Zielports erlaubt er deshalb automatisch alle Kommunikationsverbindungen, die von dem internen Netz (also von den privaten PCs) angefordert wurden.


title: Firewall

text: Wenn also eine Schadsoftware lediglich einen Netzwerkdienst installiert, der auf eine externe Verbindung wartet, so funktioniert der Schutzmechanismus recht gut. Baut sie jedoch selbst eine Verbindung zum Internet auf, so wird das Gerät die Verbindung zulassen, da sie vom internen Netz heraus angefordert wurde. Ein solches Gerät kann also lediglich externe Verbindungsanfragen effektiv unterbinden.


title: Firewall

text: Hier bietet eine Personal Firewall mitunter mehr Möglichkeiten, ist dafür aber nicht notwendigerweise sicherer und beinhaltet die oben genannten Risiken. Eine Personal Firewall ist zwar kein ebenbürtiger Ersatz für solche Geräte, sie kann aber unter bestimmten Bedingungen als eine entsprechende Ergänzung dienen.


title: Firewall

text: Dementsprechend erreichen einige DSL-Router, die im Widerspruch dazu augenscheinlich eine Netzwerkzugriffskontrolle für Anwendungen des PCs zu realisieren scheinen, dies mit einem simplen Trick: Laut Handbuch soll der Anwender zunächst die zu dem Gerät gehörende Administrationssoftware auf dem PC installieren. Zusammen mit der Administrationssoftware gelangt so auch eine hauseigene Personal Firewall auf den heimischen PC. Auch wenn sich die lokal installierte Software mit dem Logo und dem Namen der externen Firewall meldet, hat sie nichts mit ihr zu tun. Eine solche Lösung unterscheidet sich sicherheitstechnisch gewöhnlich nicht von anderen Personal Firewalls, die zusätzlich zu einem DSL-Router installiert werden.


title: Firewall

text: Eine andere Herangehensweise, um die Kommunikation einer Schadsoftware mit dem Internet zu unterbinden, basiert mitunter auf der Idee, dass die Firewall alle Zugriffe des lokalen Netzes auf das Internet sperren soll, die beispielsweise nicht für den Aufruf von Webseiten benötigt werden. Das wird dadurch erreicht, dass eine Filterregel sämtliche Anfragen auf das Internet blockiert. Eine weitere Regel erlaubt nun explizit DNS-Anfragen an den DNS-Server seiner Wahl und Zugriffe auf den Port 80 (HTTP) beliebiger Internetserver, damit der dort laufende Netzwerkdienst für den Zugriff auf Webseiten erreicht werden kann. Die Annahme ist, dass eine auf dem zu schützenden PC installierte Schadsoftware, die selbstständig eine Verbindung zu einem Netzwerkdienst aus dem Internet herstellt, nun blockiert wird, da die Netzwerkanfrage auf deren Port nicht mehr durchgelassen wird.


title: Firewall

text: Diese „Schutzwirkung“ ist jedoch stark begrenzt, denn es ist nicht mit Sicherheit auszuschließen, dass die zu blockierende Schadsoftware nicht auch den freigegebenen Port für ihre Kommunikation verwendet. Je populärer der Port ist, desto wahrscheinlicher wird ein . Da auf fast jeder externen Firewall der Port 80 für die Kommunikation mit dem Internet freigeschaltet ist, nutzen zahlreiche Schadprogramme nun ebenfalls den Port 80 für ihre eigene Kommunikation mit dem Internet, da sie davon ausgehen können, dass der Port nicht blockiert wird. Firmen verwenden solche Filter eher mit dem Ziel, den Zugriff ihrer Mitarbeiter auf das Internet einzuschränken (beispielsweise um zu erreichen, dass HTML-Seiten aufgerufen werden dürfen, eine Teilnahme am Chat jedoch unterbunden wird). Im privaten Heimnetzwerk ergibt solch ein Regelwerk meist keinen Sinn.


title: Firewall

text: Jenseits der Portsperre gibt es auf einigen Geräten erweiterte Methoden, um interne Verbindungsanfragen mithilfe der externen Firewall zu kontrollieren. Sie setzen in der Regel Proxys ein und unterstützen so die Möglichkeit, dass sich jede Anwendung vor der Netzwerkkommunikation bei der externen Firewall authentifizieren muss, bevor die Kommunikation erlaubt wird. Ein Nachteil dieser Methode ist, dass die Anwendung das Authentifizierungsprotokoll (z. B. SOCKS) kennen muss. In einem solchen Umfeld lassen sich also nur Anwendungen nutzen, die entsprechend erweitert wurden, wenngleich die Unterstützung dieser Protokolle bereits breite Verwendung findet, sodass man diesbezüglich fast von einer Standardausstattung der Applikationen sprechen kann. Damit wird es für eine Schadsoftware schwerer, aber nicht unmöglich, unbemerkt mit dem externen Netz zu kommunizieren (siehe Abbildung rechts).


title: Firewall

text: Ergänzend lassen sich auf professionellen Firewalls mitunter spezielle Filter installieren, die nach einigen bekannten Malwaresignaturen in den Netzwerkpaketen eines Dienstes suchen und die Pakete bei Identifikation sperren.


title: Firewall

text: Die genannten erweiterten Methoden erhöhen zwar die schadensbegrenzende Wirkung der externen Firewall auch bei der Kommunikation von innen nach außen. Da sie jedoch bei Geräten für den privaten Gebrauch kaum anzutreffen sind, stellen sie zumindest in diesem Bereich eine Ausnahme dar.


title: Firewall

text: Externe Firewalls sind lediglich dafür ausgelegt, den Netzwerkzugriff zwischen dem internen und externen Netz zu beschränken. Sie bieten also keinen Schutz vor ungewollten Zugriffen aus dem internen Netz, die nach einer Studie des Computer Security Institutes im Jahr 2002 mindestens doppelt so häufig vorkamen wie externe Hacking-Versuche. Vor Computerwürmern, die sich über das Netzwerk verbreiten, bietet sie ebenso wenig Schutz, wenn diese über CDs, USB-Sticks oder Disketten in das interne Netz gebracht werden. Die Computerwürmer Sasser, W32.Blaster und Conficker haben durch Ausbrüche in großen Firmen wie der deutschen Postbank und Delta Air Lines gezeigt, dass diese Infektionswege trotz externer Firewall real funktionieren.


title: Firewall

text: Außerdem ist spätestens seit 2013 bekannt, dass zumindest die US-amerikanische NSA geheime Zugriffsmöglichkeiten entwickelt hat, so genannte Backdoors, welche die Zugangssperren nahezu aller Geräte der bedeutenden Hersteller, darunter auch Router, aushebeln.


title: Firewall

text: Betreibt der eigene Computer an der Internetschnittstelle keine Netzwerkdienste und wird auch sonst entsprechend fachmännisch betrieben, so ist der Einsatz einer externen Firewall fragwürdig, denn die Firewall muss für ihre Arbeit die Netzwerkpakete ggf. separat analysieren. Sie kann die Netzwerkkommunikation also abhängig von ihrer eigenen Hardware-Geschwindigkeit, der Auslastung und dem jeweiligen Algorithmus mehr oder weniger stark verzögern. Allerdings verursachen moderne Geräte innerhalb normaler Parameter üblicherweise Verzögerungen unterhalb der Wahrnehmungsschwelle.


title: Firewall

text: Zusätzlich dazu kann der Einsatz einer Firewall dazu beitragen, dass der Anwender sich in Sicherheit wiegt und unvorsichtig wird, indem er beispielsweise nun leichtfertig Software aus unsicheren Quellen installiert, da ihn die Firewall vermeintlich vor einen Fernzugriff auf eine mögliche Schadsoftware schützt. Dadurch verliert er nicht nur die Sicherheit, sondern gefährdet sein System mehr als zuvor; das trifft auch auf die Verwendung einer Personal Firewall zu.


title: Firewall

text: In Unternehmensnetzen rechtfertigt nicht nur der Übergang vom LAN zum Internet den Einsatz einer Firewall. Auch zwischen zwei oder mehreren organisationsinternen Netzen kann eine Firewall verwendet werden, um dem unterschiedlichen Schutzbedarf der Netzwerkzonen Rechnung zu tragen, beispielsweise bei einer Trennung zwischen dem Büronetz vom Netz der Personalabteilung, in dem personenbezogene Daten gespeichert sind.


title: Firewall

text: Eine Firewall kann mit verschiedenen Methoden erwünschten von unerwünschtem Netzwerkverkehr unterscheiden, von denen aber nicht jedes Produkt alle unterstützt.


title: Firewall

text: Zur Aufgabe einer Paketfilter-Firewall gehört es, Netzwerkpakete anhand ihrer Netzwerkadresse zu sperren oder durchzulassen. Dafür wertet sie die Header-Informationen der Netzwerkpakete aus.


title: Firewall

text: Die einfache (zustandslose) Paketfilterung arbeitet auf einem Firewall-Router mit statischen Regeln und betrachtet jedes Netzwerkpaket einzeln. Sie stellt also keine Beziehungen zu den vorherigen Netzwerkpaketen her. Demgegenüber gibt es eine erweiterte Form der (zustandsgesteuerten) Paketfilterung, die solche Beziehungen erfasst, indem sie auf die Technik der Stateful Inspection zurückgreift. So wird der Zugriff auf das Quellsystem, das eine Kommunikation angefordert hat, weiter eingeschränkt. Eine entsprechende Firewall wird ebenfalls als reine Paketfilter-Firewall klassifiziert, zumindest solange darauf keine (möglichen) Proxyfilter installiert werden.


title: Firewall

text: Jede Netzwerkkarte hat eine eindeutige abrufbare Seriennummer, welche man "MAC-Adresse" nennt. Sie setzt sich zusammen aus einer Herstelleridentifikationsnummer und einer angrenzenden laufenden Nummer.


title: Firewall

text: Da diese Nummern eindeutig sind, lassen sie sich für eine simple aber dafür allgemeingültige Art der Adressierung in einem Netz nutzen. Simpel deshalb, weil sich damit zwar beispielsweise ein Computer in einem unverzweigten Netz adressieren lässt, aber in der MAC-Adresse nicht angegeben werden kann, für welches Programm des Computers das Netzwerkpaket bestimmt ist. Unverzweigt deshalb, weil die MAC-Adresse aufgrund ihres Aufbaus nicht dafür geeignet ist, in weitere Teilbereiche zerlegt zu werden. Eine Zuordnung des Adressaten zu einem bestimmten Subnetz ist also mit der MAC-Adresse nicht möglich. Anders formuliert lassen sich MAC-Adressen wie Hausnummern nutzen, aber darüber hinaus weder einer Straße noch einem Bewohner des Hauses zuordnen.


title: Firewall

text: Die Lösung bieten höhere Kommunikationsprotokolle, die über die MAC-Adresse gelegt werden. Ein Netzwerkpaket wird also bildlich gesehen mehrfach verpackt, wobei die MAC-Adresse das äußere Paket darstellt und die weiteren Pakete Schicht für Schicht in diesem Paket stecken. Innerhalb eines TCP-/IP-Netzes bildet die "IP-Adresse" das nächsthöhere Protokoll, also die nächste Verpackung. Es handelt sich dabei um mehrere Ziffernblöcke, vergleichbar mit einer Hausadresse, die eine Straßennummer und eine Hausnummer enthält (welcher Teil der IP-Adresse sinnbildlich die Straßennummer, genauer die "Netzwerk-ID", repräsentiert und welcher Teil die Hausnummer darstellt, genauer die "Rechner-ID", wird durch die Subnetzmaske definiert). In einem solchen Netz bildet das nächsthöhere Protokoll, also die Verpackung nach der IP-Adresse, den "Port" ab. Der Port ist vergleichbar mit einer Raumnummer oder einem Namensschild. Er bestimmt, für wen genau „im Haus“ das Paket bestimmt ist (genauer: welches Programm das Paket erhalten soll).


title: Firewall

text: All diese „Verpackungen“ kann eine Firewall auswerten und die Netzwerkpakete entsprechend filtern, indem sie anhand eines „Wer darf worauf zugreifen“-Regelwerks entscheidet, welche Anfragen zulässig sind und welche nicht. In der Regel erfolgt dies jedoch erst ab OSI-Schicht 3, also der IP-Adresse, da sich die MAC-Adress-Information der Netzwerkpakete ändert, wenn sie beispielsweise auf ihrem Weg durchs Netz einen Router passieren.


title: Firewall

text: Die Adressenfilterung bildet die Grundform sämtlicher weiterer Firewall-Arten. Filter, die der reinen Filterung von Netzwerkadressen dienen, also "Paketfilter", kommen somit auch auf allen anderen Firewalls vor.


title: Firewall

text: Ein "Firewall-Router" wird als "Paketfilter-Firewall" klassifiziert und ist eine Software, die auf einem Router installiert ist und die dort die Netzwerkverbindung beschränkt. Dieser Firewall-Typ kann im einseitig transparenten (Router im NAT-Modus) oder beidseitig transparenten Modus in Erscheinung treten (Router ohne NAT).


title: Firewall

text: Er wird hauptsächlich mit Firewall-Geräten assoziiert, die statische (zustandslose) Paketfilter verwenden, obgleich genau genommen auch eine Stateful Inspection Firewall auf einem Router aufsetzen kann. Andere Firewall-Arten unterscheiden sich von einem Firewall-Router also dadurch, dass sie zumindest eine genauere Form der Paketfilterung anbieten (Stateful Inspection) oder auf einem vom Router abweichenden Konzept basieren und dabei neben dem Paketfilter meist eine erweiterte Form der Filterung anbieten (wie Proxy Firewall und Personal Firewall).


title: Firewall

text: Das OSI-Schichtenmodell beschreibt die Designgrundlage von Kommunikationsprotokollen in Rechnernetzen. Ein Paketfilter greift nach diesem Schichtenmodell auf die OSI-Schicht 3 (IP-Adresse) und 4 (Port) aus den Header-Informationen eines Netzwerkpaketes zu.


title: Firewall

text: Bei den folgenden beispielhaften Filterregeln ist zu beachten, dass nicht inhaltlich nach den genannten Protokollen, sondern den zu dem entsprechenden Netzwerkdienst gehörenden TCP- bzw. UDP-Ports gefiltert wird:


title: Firewall

text: Die Filterentscheidungen werden für jedes Paket einzeln und unabhängig getroffen. Diese Art der Filterung ist heutzutage in zahlreichen Routern und Layer-3-Switches implementiert.


title: Firewall

text: Im Unterschied zu dem statischen (zustandslosen) Paketfilter wird hier die Firewall-Regel bei jeder Verbindungsanfrage dynamisch konkretisiert, um den Zugriff auf eine etablierte Verbindung genauer zu beschränken. Dabei stellt die Firewall den Rückkanal (Ziel- zu Quellsystem) in direkter Beziehung zur zuvor etablierten Verbindung (Quell- zu Zielsystem) und schränkt den Zugriff entsprechend ein, sodass ausschließlich die beteiligten Kommunikationspartner auf die Verbindung zugreifen können. Das ist die Grundfunktion, die alle Stateful Inspection Firewalls beherrschen.


title: Firewall

text: Spezielle Filter zahlreicher Stateful-Inspection-Firewalls können darüber hinaus die Nutzdaten einer Kommunikation einsehen. Das ist beispielsweise für Netzwerkprotokolle sinnvoll, die über die Nutzdaten eine zweite Verbindung zwischen den Kommunikationspartnern aushandeln (siehe aktives FTP). Die Einsicht in die Nutzdaten erlaubt es dem Filter, die Adressfilterung der Pakete weiter zu präzisieren, er ist im Unterschied zu einem Proxyfilter jedoch nicht in der Lage, die Verbindung selbst zu beeinflussen (er kann die Daten nicht verändern).


title: Firewall

text: Je nach Produkt kann die Stateful-Inspection-Firewall auch nach einem Verbindungsaufbau erkennen, ob und wann der zu schützende PC (genauer der Client) mit dem Zielsystem kommuniziert, wobei die Firewall nur dann Antworten darauf zulässt. Sendet das Zielsystem also Daten, die von dem Client nicht angefordert wurden, so blockiert die Firewall den Transfer selbst nach erfolgter Verbindung zwischen Client und Zielsystem.


title: Firewall

text: Ein Paketfilter, der auf die Technik der Stateful Inspection basiert, greift auf die OSI-Schicht 3 (IP-Adresse), 4 (Port) und ggf. 7 (Nutzdaten) eines Netzwerkpaketes zu.


title: Firewall

text: Abhängig von der Konfiguration des Gerätes, auf dem die Firewall-Software installiert wurde und dem Firewall-Produkt, kann eine Stateful-Inspection-Firewall unter anderem die folgenden Funktionen bieten:


title: Firewall

text: Die Filter einer "Proxy Firewall" (auch "Application Layer Firewall" genannt) beachten zusätzlich zu den reinen Verkehrsdaten wie Quelle, Ziel und Dienst typischerweise noch die Nutzdaten, also den Inhalt der Netzwerkpakete. Im Unterschied zur Stateful-Inspection-Technik, die abhängig vom Produkt mitunter auch auf die Nutzdaten zugreift, reicht der typische Proxyfilter die Netzwerkanfrage des Quellsystems nicht einfach an das Zielsystem weiter. Vielmehr baut er selbst eine eigene Verbindung zum Zielsystem auf. Da er stellvertretend für den anfragenden Client mit dem Zielsystem kommuniziert, kann er die Pakete zusammenhängend analysieren und Einfluss auf die Verbindung nehmen. So ist er in der Lage, Anfragen auch in Bezug auf den Kommunikationsfluss der Nutzdaten zu filtern und kann entscheiden, welche Antworten des Zielsystems er an den anfragenden Client weiterreicht. Dabei kann er den Paketinhalt beliebig verändern.


title: Firewall

text: Technisch gesehen arbeitet ein solcher Filter als ein in den Verkehr eingreifender Kommunikationspartner, der die Verbindungen auf beiden Seiten terminiert (es handelt sich um zwei eigenständige Verbindungen), statt die Netzwerkpakete durchzureichen. Der Filter selbst ist ein Dienstprogramm für Computernetze, das im Datenverkehr vermittelt, und wird daher auch "Proxy-Server" genannt: Als aktiver Vermittler verhält er sich dem anfragenden Client gegenüber wie ein Server, der anderen Seite, dem Zielsystem, gegenüber wie ein Client. Da er das Kommunikationsprotokoll kennen muss, gibt es für jedes höhere Kommunikationsprotokoll (HTTP, FTP, DNS, SMTP, POP3, MS-RPC usw.) einen eigenen Filter (man spricht daher auch von "dedicated Proxys"). Sie können u. a. unerwünschte Protokolloptionen verbieten, indem sie etwa in einer SMTP-Transaktion kein BDAT, VRFY o. Ä. zulassen. Es kann sogar für ein und dasselbe Protokoll mehrere "dedicated Proxys" geben, beispielsweise um unterschiedliche Webdienste unter HTTP zu filtern; beispielsweise je einen pro genutzte Webanwendung in einem Unternehmen.


title: Firewall

text: Eine Ausnahme bildet der "Generische Proxy", auch "Circuit Level Proxy" genannt. Er findet als "protokollunabhängiger" Filter auf der Proxy Firewall Anwendung und realisiert dort ein port- und adressbasiertes Filtermodul, das zudem eine (mögliche) Authentifizierung für den Verbindungsaufbau unterstützt. Dabei ist der Filter nicht in der Lage die Kommunikation einzusehen, sie selbst zu führen und zu beeinflussen, da er das Kommunikationsprotokoll nicht kennt.


title: Firewall

text: Ein "dedicated Proxy" als Filter, der auf ein bestimmtes Protokoll spezialisiert ist, arbeitet als vermittelndes Dienstprogramm und greift daher (wie jedes Dienst- oder Anwendungsprogramm) auf die OSI-Schicht 7 "(Application Layer)" zu. Der "Circuit Level Proxy" als generischer (protokollunabhängiger) Filter nutzt dagegen die OSI-Schicht 3 (IP-Adresse), 4 (Port) und ggf. 5 (bei Authentifizierung für den Verbindungsaufbau).


title: Firewall

text: Hinweis: Entgegen einem populären Missverständnis besteht die grundlegende Aufgabe einer "Application Layer Firewall" nicht darin, bestimmten Applikationen (Programmen) den Zugriff zum Netz zu gewähren oder zu verbieten. Der Name "Application" wurde lediglich aus dem "Application Layer" der OSI-Schicht 7 abgeleitet, der dafür steht, dass ein entsprechender Filter in die Nutzdaten der Netzwerkpakete hineinsehen kann. Die Aufgabe, den Netzwerkzugriff auf Anwendungen zu beschränken, die sich der Firewall gegenüber authentifiziert haben, fällt (wenn überhaupt) meist dem generischen Proxyfilter zu, also ausgerechnet dem Filter, der den "Application Layer" nicht einmal nutzt.


title: Firewall

text: Grundsätzlich kann jeder Dienst auf jeder Portnummer funktionieren. Wenn im Regelwerk der TCP-Port 80 für HTTP freigeschaltet ist, kann darüber trotzdem ein anderes Protokoll laufen. Es müssen nur beide Kommunikationspartner (der Client im internen Netz wie auch der Dienst auf dem Server aus dem externen Netz) entsprechend konfiguriert worden sein. Einen Versuch, dies mithilfe der Firewall zu unterbinden, kann mit Application Layer Firewalls erfolgen. Sie können den Aufbau der Nutzdaten untersuchen und alle Pakete blockieren, welche nicht dem Protokoll des freigegebenen Dienstes entsprechen. Allerdings soll jedes Protokoll Daten übertragen, weshalb die Daten in diesem Fall lediglich entsprechend konvertiert werden müssen. Bettet die Software die zu übertragenden Daten also in HTTP ein, ohne dabei den Standard des Protokolls zu verletzen, ist auch diese Firewall dagegen machtlos (die Gegenstelle, der Dienst auf dem Server also, muss diese Art der Konvertierung allerdings verstehen). Ein Tunnel nimmt eine solche Konvertierung vor. Manipulierte Daten können z. B. in Bilddaten verpackte Datenströme sein.


title: Firewall

text: Tunnel bieten daher eine Methode, um die Kontrolle einer Firewall zu umgehen. Tunnel werden auch verwendet, um unsichere Netzwerkprotokolle mithilfe eines gesicherten und verschlüsselten Netzwerkprotokolls abhör- und manipulationssicher zu transportieren. Dies kann beispielsweise durch einen SSH- oder VPN-Tunnel innerhalb einer legitim freigeschalteten Verbindung geschehen.


title: Firewall

text: Sowohl OpenVPN als auch viele SSH-Clients (z. B. PuTTY) sind zudem in der Lage, einen Tunnel über einen HTTP-Proxy aufzubauen, der eigentlich nur Webseiten weiterleiten sollte. Daneben gibt es spezielle Tunnel-Software für Protokolle wie DNS oder ICMP.


title: Firewall

text: Insbesondere Skype ist ein Beispiel dafür, wie gut sich die meisten Firewalls von innen nach außen umgehen lassen. Solange die Benutzer aus dem internen Netz die Möglichkeit haben, auf Webseiten zuzugreifen, hat der Firewall-Administrator durch die Verschlüsselung technisch kaum eine Chance, eine Durchtunnelung zu verhindern. Dank Whitelists, die den Zugriff auf bestimmte Server beschränken, können Firewalls das Durchtunneln immerhin stark erschweren. Organisationen erweitern die technischen Maßnahmen mitunter durch organisatorische Sicherheitsmaßnahmen, z. B. ein Verbot der bewussten Tunnelnutzung in der Sicherheitsrichtlinie, die der Mitarbeiter unterzeichnen muss.


title: Firewall

text: „Intrusion Detection Systeme“ (IDS) und „Intrusion Prevention Systeme“ (IPS) erkennen einen Einbruchsversuch anhand von Kommunikationsmustern. Der Unterschied ist, dass ein IDS den Angriff nur erkennt (Detection (engl.) = Erkennung) und ein IPS (Prevention (engl.) = Verhinderung) den Angriff zu blockieren versucht. Diese Systeme gehören zwar nicht zum Firewall-Modul, können dieses aber ergänzen und werden daher vermehrt in eine Firewall-Lösung als zusätzliche Funktion aufgenommen. Einige Firewall-Systeme bieten Erweiterungsmöglichkeiten, um ein IDS nachzurüsten, unter anderem über Slots für Erweiterungsmodule. Diese Module sind mitunter eigenständige Recheneinheiten mit CPU und Arbeitsspeicher, da diese Funktion je nach Aufgabenfeld eine rechenintensive Leistung erfordern kann. Eine ausreichende CPU-Leistung ist für eine geringe Verarbeitungszeit (Latenz) ausschlaggebend. Die durch IPS-Systeme verursachte Latenzzeit kann je nach Hersteller unter 100 Mikrosekunden liegen.


title: Firewall

text: Das Themenfeld, Angriffe zu erkennen und darauf automatisiert zu reagieren, ist sehr komplex. Ein unbedachtes Konzept, eine schlechte Implementierung oder eine ungünstige Konfiguration kann unter Umständen erst die Möglichkeit für einen Denial-of-Service-Angriff schaffen. So legen manche Systeme eine temporäre Firewall-Regel an, die alle weiteren Verbindungsversuche von der vermeintlichen angreifenden IP-Adresse blockieren. Schickt aber nun ein Angreifer Pakete mit einer gefälschten Absender-Adresse an das System (siehe IP-Spoofing), so kann er damit erreichen, dass der Zugriff auf die gefälschte Adresse nicht mehr möglich ist. Wurden hierfür keine Ausnahmen definiert, so kann er nacheinander sämtliche Adressen von dem angegriffenen System abschotten, die dieses für seine Arbeit benötigt (DNS-Server usw.).


title: Hauptleute

text: Die Hauptleute bilden eine Dienstgradgruppe der Bundeswehr. In Österreich ist der Begriff Hauptleute eine Sammelbezeichnung für verschiedene Amtsbezeichnungen.