Sicherheit

In dieser Lerneinheit vertiefst du dein Wissen über die Sicherheitsaspekte von IPv6, insbesondere die integrierte IPsec-Unterstützung. Du lernst die wichtigsten Sicherheitsmechanismen und deren praktische Implementierung in IPv6-Netzwerken kennen und verstehst, wie du potenzielle Sicherheitsrisiken bei der IPv6-Einführung minimierst. Diese Kenntnisse sind essentiell für den sicheren Betrieb moderner Netzwerkinfrastrukturen und die Absicherung der Kommunikation in IPv6-Umgebungen.

Einführung

Viele denken: „IPv6 ist neu – also automatisch sicherer.” Aber stimmt das wirklich?
Du ersetzt NAT, arbeitest mit global erreichbaren Adressen und setzt auf automatische Konfiguration.
Gleichzeitig öffnest du dein Netzwerk für neue Angriffspunkte – oft, ohne es zu merken.

Ungeschützte Datenübertragung vs. sichere Kommunikation mit IPsec — Bildrechte: Ausbildung-in-der-IT.de (KI-unterstützt)

IPv6 bringt neue Möglichkeiten
Und genau deshalb lohnt sich ein genauer Blick auf die eingebauten Sicherheitsmechanismen.

Lernziele

Nach dieser Lerneinheit kannst du:

• erklären, wie IPsec in IPv6-Netzen funktioniert, welche Betriebsmodi es gibt und in welchen Szenarien es eingesetzt wird.
• den Zweck und die Funktionsweise von Privacy Extensions beschreiben und begründen, warum sie ein wichtiges Instrument zum Schutz der Privatsphäre darstellen.
• verschiedene Sicherheits- und Datenschutzmechanismen in IPv6 (z. B. IPsec vs. Privacy Extensions) voneinander abgrenzen und ihre Einsatzbereiche bewerten.

Warum ist Sicherheit in IPv6 wichtig?

IPv6 wurde von Anfang an mit einem stärkeren Fokus auf Sicherheit entwickelt als sein Vorgänger IPv4. Ein zentrales Element dabei war die Integration von IPsec (Internet Protocol Security) – einem Protokoll-Set, das Authentizität, Integrität und Vertraulichkeit auf der Netzwerkschicht sicherstellt.

Früher war IPsec für IPv6 verpflichtend. Heute (laut RFC 6434) gilt es als empfohlene Option, die jedoch von vielen Geräten und Systemen unterstützt wird.

Was ist IPsec?

IPsec sorgt für eine sichere Datenübertragung im IP-Netzwerk. Es schützt deine Kommunikation auf drei Ebenen:

• Authentizität: Du kannst sicher sein, dass du mit dem richtigen Kommunikationspartner sprichst.
• Integrität: Die Daten wurden unterwegs nicht verändert.
• Vertraulichkeit: Optional kann IPsec auch die Daten verschlüsseln.

IPsec wird eingesetzt:

• bei Ende-zu-Ende-Kommunikation zwischen zwei Hosts
• in VPN-Szenarien zwischen Netzwerken oder mobilen Endgeräten und einem Firmennetz
• zum Schutz von Routing-Protokollen und Steuerdaten

Betriebsmodi von IPsec

IPsec kann auf zwei Arten arbeiten – je nach Anwendungsfall:

Transportmodus

• Nur die Nutzdaten (Payload) des IP-Pakets werden verschlüsselt.
• Der ursprüngliche IP-Header bleibt erhalten.
• Ideal für Host-zu-Host-Kommunikation.
• Hinweis: Nicht NAT-kompatibel – was bei IPv6-Netzen kaum ein Problem ist, da dort meist kein NAT verwendet wird.

Tunnelmodus

• Das gesamte IP-Paket inklusive Header wird verschlüsselt.
• Das verschlüsselte Paket wird in ein neues IP-Paket eingebettet.
• Typisch für VPNs zwischen Netzwerken oder Gateways.

Schlüsselaustausch mit IKE

Bevor IPsec verwendet werden kann, müssen sich beide Seiten auf Schlüssel und Parameter einigen. Dafür wird das Protokoll IKE (Internet Key Exchange) verwendet:

• IKEv1: Veraltet, sollte nicht mehr verwendet werden.
• IKEv2: Aktueller Standard – effizienter, sicherer, weit verbreitet.

IKE verhandelt automatisch:

• die verwendeten Algorithmen (z. B. Verschlüsselung, Hashing)
• Authentifizierungsmethoden
• Schlüssel

Die Ergebnisse werden in sogenannten Security Associations (SAs) gespeichert. Eine SA definiert, wie der Datenverkehr zwischen zwei IPsec-Teilnehmern gesichert wird.

Authentifizierung in IPsec

Damit IPsec sicher funktioniert, müssen sich die Kommunikationspartner gegenseitig identifizieren. Dafür gibt es zwei gängige Verfahren:

Pre-Shared Key (PSK)

• Ein zuvor manuell vereinbarter Schlüssel wird auf beiden Seiten hinterlegt.
• Einfach umzusetzen, aber weniger sicher bei großen Netzen oder vielen Teilnehmern.

Zertifikatbasierte Authentifizierung

• Nutzt digitale Zertifikate, um die Identität der Gegenstelle zu prüfen.
• Höhere Sicherheit, basiert auf einer Public-Key-Infrastruktur (PKI).

Die zwei IPsec-Protokolle: AH und ESP

IPsec verwendet zwei Hauptprotokolle zur Absicherung des Datenverkehrs:

Protokoll	Funktion	Verschlüsselung
AH (Authentication Header)	Bietet Authentizität und Integrität – keine Verschlüsselung	❌
ESP (Encapsulating Security Payload)	Bietet Authentizität, Integrität und Vertraulichkeit	✅

In der Praxis kommt ESP deutlich häufiger zum Einsatz, da es die Daten zusätzlich verschlüsseln kann.

Einsatzszenarien von IPsec in IPv6-Netzen

Es gibt verschiedene Einsatzszenarien von IPsec in IPv6-Netzen:

• Kommunikation zwischen Netzwerkknoten absichern: z. B. zwischen zwei IPv6-Hosts oder Routern
• VPNs aufbauen: z. B. zwischen einem mobilen Gerät und dem Firmennetzwerk
• Routing-Informationen sichern: z. B. in dynamischen Routing-Protokollen wie OSPFv3

Konfiguration und Verwaltung

Die Einrichtung von IPsec erfolgt meist über:

• CLI (Command Line Interface): z. B. auf Routern oder Firewalls
• Webbasierte Management-Oberflächen: z. B. in Firewalls oder VPN-Gateways

Dabei legst du sogenannte Security Policies fest, also Regeln, die definieren:

• welcher Datenverkehr geschützt wird
• welche IPsec-Parameter verwendet werden sollen (z. B. Modus, Protokoll, Verschlüsselung)

⏳ Lädt Dataview-Inhalt...

Warum sind Privacy Extensions wichtig?

Mit der Einführung von IPv6 wurde auch die Adressvergabe neu geregelt – insbesondere durch SLAAC (Stateless Address Autoconfiguration). Dabei wird ein Teil der IPv6-Adresse automatisch aus der Hardware-Adresse (MAC-Adresse) des Geräts gebildet – häufig über das sogenannte EUI-64-Verfahren. Dadurch entsteht jedoch ein erhebliches Datenschutzproblem: Geräte sind eindeutig und dauerhaft identifizierbar, sogar über verschiedene Netzwerke hinweg.

Privacy Extensions wurden eingeführt, um diese Rückverfolgbarkeit zu reduzieren und die Privatsphäre der Nutzer zu schützen.

Was sind Privacy Extensions?

Privacy Extensions (PE), definiert in RFC 4941 und aktualisiert durch RFC 8981, sind eine Erweiterung für SLAAC. Sie ermöglichen es, temporäre IPv6-Adressen mit zufällig generierten Interface Identifiers zu erstellen – unabhängig von der MAC-Adresse.

Kerneigenchaften

• Temporäre Adressen werden zusätzlich zur stabilen SLAAC-Adresse erzeugt
• Sie werden vor allem für ausgehende Verbindungen (z. B. Webzugriffe) genutzt
• Die stabile Adresse bleibt für eingehende Verbindungen (z. B. Fernwartung) bestehen

Wie funktionieren Privacy Extensions?

Privacy Extensions setzen auf ein Zusammenspiel aus stabilen und temporären Adressen – die folgenden Schritte zeigen dir, wie dieser Mechanismus technisch umgesetzt wird.

1. Initialisierung:

   • Das Gerät erstellt zunächst eine stabile IPv6-Adresse per SLAAC
   • Der Interface Identifier basiert entweder auf MAC-Adresse (EUI-64) oder ist stabil randomisiert (RFC 7217)

2. Temporäre Adressbildung:

   • Parallel erzeugt das System eine temporäre Adresse mit zufälligem Interface Identifier
   • Diese Adresse wird für ausgehende Verbindungen verwendet

3. Regelmäßiger Wechsel:

   • Die temporäre Adresse wird in regelmäßigen Abständen erneuert
   • Alte Adressen bleiben übergangsweise aktiv, um bestehende Verbindungen nicht zu unterbrechen

Vorteile der Privacy Extensions

Überblick:

Ziel	Wirkung
Anti-Tracking	Geräte lassen sich über Netzwerke hinweg deutlich schwerer verfolgen
Privatsphäre	Keine Rückschlüsse auf das physische Gerät durch wechselnde Adressen
Sicherheit	Weniger dauerhaft gültige Zieladressen für potenzielle Angreifer

Beispiel: Zwei Adressen durch SLAAC und Privacy Extensions

Beispiel:

Stabile SLAAC-Adresse:         2001:db8:85a3::8a2e:370:7334
Temporäre Privacy-Adresse:     2001:db8:85a3::53a9:f4ff:fe8a:2ca0

Die temporäre Adresse wird regelmäßig erneuert und basiert nicht auf der Hardware-Adresse – so ist keine dauerhafte Rückverfolgung möglich.

Konfiguration und Verwendung

Bevor Privacy Extensions wirksam werden, muss das Betriebssystem sie korrekt implementieren und verwalten – die Konfiguration ist daher ein zentraler Bestandteil.

• Standardverhalten:

  • Auf vielen aktuellen Betriebssystemen (Windows, macOS, Android, iOS) standardmäßig aktiviert

• Anpassung möglich:

  • Unter Linux z. B. über den Parameter:

  net.ipv6.conf.all.use_tempaddr = 2
  

  • Auch Gültigkeitsdauer und Erneuerungsintervall sind anpassbar

⏳ Lädt Dataview-Inhalt...

Zusammenfassung

Zusammenfassung

In dieser Lerneinheit hast du zwei zentrale Sicherheitsmechanismen von IPv6 kennengelernt: IPsec zur Sicherung der Kommunikation und Privacy Extensions zum Schutz der Privatsphäre.

IPsec: Sicherheit auf der Netzwerkschicht

• IPsec ist ein Protokoll-Set zur Sicherung der IP-Kommunikation.
• Es stellt Authentizität, Integrität und optional Vertraulichkeit bereit.
• Es gibt zwei Betriebsmodi:
  • Transportmodus: schützt nur die Nutzdaten, ideal für Host-zu-Host-Kommunikation.
  • Tunnelmodus: verschlüsselt das gesamte IP-Paket, typisch für VPNs.
• Der Schlüsselaustausch erfolgt über IKEv2, das sichere Parameter automatisch verhandelt.
• Die Authentifizierung kann über Pre-Shared Keys (PSK) oder Zertifikate erfolgen.
• Mit ESP (Encapsulating Security Payload) wird in der Praxis meist gearbeitet, da es zusätzlich zur Authentizität auch Verschlüsselung bietet.
• Einsatzbereiche umfassen unter anderem VPNs, gesicherte Routerkommunikation und den Schutz sensibler Datenflüsse.

Privacy Extensions: Schutz vor Tracking

• Privacy Extensions ergänzen SLAAC, indem sie zusätzlich zur stabilen IPv6-Adresse temporäre Adressen generieren.
• Diese temporären Adressen basieren auf zufällig erzeugten Identifikatoren, nicht auf der MAC-Adresse.
• Sie werden regelmäßig erneuert und primär für ausgehende Verbindungen genutzt.
• Ziel ist es, Tracking und Nachverfolgung einzelner Geräte über Netzgrenzen hinweg zu erschweren.
• Die stabile SLAAC-Adresse bleibt parallel bestehen – z. B. für eingehende Verbindungen oder Fernwartung.
• Privacy Extensions sind in vielen modernen Betriebssystemen standardmäßig aktiviert und lassen sich konfigurieren (z. B. unter Linux mit net.ipv6.conf.*.use_tempaddr).

Diese beiden Mechanismen ergänzen sich: Während IPsec für technische Netzwerksicherheit sorgt, schaffen Privacy Extensions die Grundlage für Datenschutz auf der Adressierungsebene.

---