13. Maturavorbereitung

Maturavorbereitung

Drei Wochen, in denen nichts Neues dazukommt. Der Stoff aus zwei Jahren wird geordnet, verknüpft und in eine Form gebracht, in der Sie ihn unter Zeitdruck abrufen können.

Das Ziel ist nicht, Definitionen aufzusagen. Eine auswendig gelernte Definition trägt genau bis zur ersten Nachfrage. Das Ziel ist, eine Frage aus dem Schwerpunkt an einem konkreten Beispiel zu beantworten, und das beste Beispiel haben Sie bereits: Ihr eigenes Projekt. Dort kommt jeder Themenkreis dieses Schwerpunkts mindestens einmal vor, und zwar mit einer Entscheidung, die Sie selbst getroffen und begründet haben.

Machen Sie sich das zum System: Zu jedem Themenkreis gehört ein Beleg aus dem eigenen System. Wer im Fachgespräch auf „Wie sichern Sie Ihre Anwendung gegen Cross-Site-Scripting ab?” mit der eigenen Content-Security-Policy und dem Befund aus dem Sicherheitsreview antwortet, führt das Gespräch, statt es zu erdulden.

Die Themenkreise

Zu jedem Kreis stehen Leitfragen und der Beleg, den Sie vorbereiten. Wenn Sie eine Leitfrage nicht in zwei Minuten beantworten können, gehört sie in Ihren Lückenplan.

1. Betrieb und Infrastruktur

4. Klasse, Kapitel 2 und 3; 5. Klasse, Kapitel 9

Was passiert zwischen der Eingabe einer Adresse und der fertigen Seite? DNS, TLS, Reverse Proxy, Container, Anwendung.
Warum ist die Anmeldung per Passwort über SSH abzuschalten, und was tritt an ihre Stelle?
Wie unterscheiden sich Image, Container und Volumen, und was überlebt einen Neustart?
Wie kommt ein Zertifikat auf den Server, und was passiert bei Ablauf?
Warum greifen Firewallregeln nicht, wenn Docker Ports veröffentlicht?
Wozu ein Reverse Proxy, wenn die Anwendung selbst einen Webserver mitbringt?

Beleg: Ihre Compose-Datei, die Traefik-Konfiguration, docs/haertung.md.

2. Schnittstellen

4. Klasse, Kapitel 4, 5 und 7; 5. Klasse, Kapitel 3

Wann 401, wann 403, wann 404, und warum kann 404 die sicherheitstechnisch bessere Antwort sein?
Was heißt idempotent, welche Methoden sind es, und warum ist das beim Wiederholen wichtig?
Warum ist CORS keine Zugriffskontrolle?
Wie ändert man eine Schnittstelle, ohne bestehende Clients zu brechen?
Was ist ein Schnittstellenvertrag, und wozu Verträge in Tests?
Was tut Ihre Anwendung, wenn ein fremder Dienst nicht antwortet?

Beleg: Ihre OpenAPI-Beschreibung, eine problem+json-Antwort, Ihre Adapterschicht.

3. Daten

4. Klasse, Kapitel 6; 5. Klasse, Kapitel 9

Was ist eine Transaktion, und wozu Isolationsstufen?
Wie verhindert man verlorene Aktualisierungen bei gleichzeitigem Zugriff?
Was ist ein N+1-Problem, wie erkennt man es, wie behebt man es?
Wie ändert man ein Schema, während zwei Anwendungsversionen laufen?
Warum getrennte Datenbankrollen für Anwendung und Migration?
Was lesen Sie aus EXPLAIN ANALYZE heraus?

Beleg: Ihr Datenmodell, eine Migration nach dem Vier-Schritte-Verfahren, eine Messung vor und nach einem Index.

4. Frontend

4. Klasse, Kapitel 10 bis 13 und 15; 5. Klasse, Kapitel 5, 6 und 8

Welche Rendering-Strategie für welche Seite, und was hat das mit Auffindbarkeit zu tun?
Warum wird Serverzustand anders behandelt als Zustand im Client?
Was ist eine optimistische Aktualisierung, und was passiert, wenn der Server widerspricht?
Warum wird jede Prüfung im Client auf dem Server wiederholt?
Was macht ein Designsystem aus, und warum zwei Ebenen von Token?
Welche fünf Zustände hat jede Ansicht, und was zeigt man in jedem?
Was bedeutet WCAG Stufe AA in konkreten Anforderungen?

Beleg: Ihr Designsystem, docs/bedienbarkeit.md, ein Screenreader-Durchgang.

5. Sicherheit

4. Klasse, Kapitel 8, 9 und 16; 5. Klasse, Kapitel 7

Wie werden Passwörter gespeichert, und warum genügt ein Hash allein nicht?
Sitzung oder Token: Wo liegt der Unterschied, besonders beim Widerruf?
Wovor schützen state, PKCE und nonce jeweils?
Wie prüft man ein ID-Token vollständig?
Was ist eine unsichere direkte Objektreferenz, und wie sieht die Behebung aus?
Wie funktioniert eine Content-Security-Policy mit Nonces?
Was leistet STRIDE, und was hat es an Ihrem Projekt ergeben?

Beleg: docs/sicherheit.md mit Bedrohungsmodell, ein Befund samt Regressionstest.

6. Recht und Reichweite

5. Klasse, Kapitel 4 und 5

Welche Rechtsgrundlagen gibt es praktisch, und warum ist Einwilligung nicht immer die richtige?
Was steht in einem Verarbeitungsverzeichnis?
Wann braucht das Setzen eines Cookies eine Einwilligung, wann nicht?
Wie setzt man Löschung technisch um, einschließlich Protokollen, Sicherungen und Auftragsverarbeitern?
Wozu ein Auftragsverarbeitungsvertrag, und was prüfen Sie vor dem Einsatz eines fremden Dienstes?
Was unterscheidet robots.txt von noindex, und wann brauchen Sie welches?

Beleg: docs/datenschutz.md, Ihre Löschfunktion, docs/sichtbarkeit.md.

7. Plattformen

5. Klasse, Kapitel 8

Wann PWA, wann plattformübergreifend, wann nativ, und woran entscheiden Sie das?
Wie sieht der Lebenszyklus eines Service Workers aus, und worin besteht die Aktualisierungsfalle?
Welche Zwischenspeicherstrategie für welche Art von Anfrage?
Wie löst man Schreibvorgänge ohne Netz samt Konfliktfall?
Was ändert sich in einer App gegenüber dem Web, und was bleibt gleich?
Was verlangt ein Store, bevor eine App erscheinen darf?

Beleg: Manifest und Service Worker, eine Vorführung im Flugmodus.

8. Betriebsqualität

5. Klasse, Kapitel 10 und 11

Logs, Metriken, Traces: Welche Frage beantwortet welche Sicht?
Was sind die vier goldenen Signale?
Warum alarmiert man auf Symptome und nicht auf Ursachen?
Was ist ein Fehlerbudget, und welche Entscheidung folgt daraus?
Wie unterscheiden sich Lebendigkeit und Bereitschaft, und warum gehören fremde Dienste nicht in die Bereitschaftsprüfung?
Was bedeuten RPO und RTO, und wie haben Sie Ihre Werte gemessen?
Was gehört in eine Nachbetrachtung nach einem Vorfall?

Beleg: Ihr Dashboard, zwei Alarme mit Anweisung, das Wiederherstellungsprotokoll, eine Nachbetrachtung.

Prüfungsformen

Die Reife- und Diplomprüfung besteht aus der Diplomarbeit samt Präsentation und Diskussion, den schriftlichen Klausuren und den mündlichen Prüfungen. Welche Gegenstände Sie in welcher Form antreten und wie viele Themenbereiche es je Prüfungsgebiet gibt, legt Ihre Schule fest. Verbindlich ist die Liste der Themenbereiche, die Sie ausgehändigt bekommen; die Themenkreise oben decken den Stoff ab, ersetzen aber diese Liste nicht.

Eine mündliche Aufgabe ist in der Regel zweiteilig: Ein Teil verlangt fachliches Wissen, der zweite verlangt, es auf eine gegebene Situation anzuwenden. Der zweite Teil ist der, an dem sich die Note entscheidet, und er ist genau das, wofür Ihr Projekt als Beispiel taugt.

Was eine gute Antwort ausmacht

Vier Bestandteile, in dieser Reihenfolge: Begriff, Zusammenhang, Beispiel, Abwägung.

Frage: Was ist CORS, und wozu dient es?

Schwach: „CORS ist ein Sicherheitsmechanismus im Browser, den man einschalten muss, damit die API funktioniert.”

Stark: „Die Same-Origin-Policy verbietet einer Seite, Antworten von einer anderen Herkunft auszulesen. CORS ist die Ausnahmeregelung dazu: Der Server erklärt über Kopfzeilen, welche Herkunft die Antwort lesen darf. Wichtig ist, dass das eine Schutzregel des Browsers ist und keine Zugriffskontrolle. Mit curl bekomme ich die Antwort trotzdem, deshalb liegt die eigentliche Prüfung in der Autorisierung auf dem Server. In unserem Projekt steht das Frontend unter projekt.example.at und die API unter api.projekt.example.at, deshalb führen wir eine Positivliste erlaubter Herkünfte und setzen Vary: Origin, damit der Zwischenspeicher nicht die Antwort für eine falsche Herkunft ausliefert.”

Der Unterschied ist nicht die Menge an Wörtern, sondern dass die zweite Antwort einen Zusammenhang herstellt, ein Beispiel nennt und eine Abgrenzung enthält.

Wenn Sie es nicht sicher wissen

Sagen Sie, was Sie sicher wissen, grenzen Sie ab, und leiten Sie den Rest her. „Sicher weiß ich, dass … Ob das auch für … gilt, kann ich nicht sagen. Ich würde es so herleiten: …” Das ist eine brauchbare Antwort und wird als solche bewertet.

Was nicht funktioniert, ist Erfinden. Die nächste Nachfrage deckt es auf, und danach steht jede Ihrer weiteren Antworten unter Vorbehalt.

So laufen die drei Wochen

Woche 1: Aufbereiten. Die acht Themenkreise werden in Kleingruppen aufgeteilt. Jede Gruppe erstellt eine Übersicht mit Leitfragen, Antworten in Stichworten, Fachbegriffen und dem Beleg aus einem echten Projekt, und erklärt ihren Kreis der Klasse in zwölf Minuten. Erklären ist die gründlichste Art der Wiederholung, weil dabei jede Lücke sichtbar wird.
Woche 2: Anwenden. Aufgaben und Fallbeispiele im Zeitrahmen durcharbeiten, allein und in Paaren. Typische Fallbeispiele: „Ein Kunde meldet, die Seite sei langsam. Wie gehen Sie vor?” oder „Ein Dienstleister soll Newsletter versenden. Was prüfen Sie vorher?” Danach gegenseitig korrigieren, entlang der vier Bestandteile einer guten Antwort.
Woche 3: Sprechen. Simulierte Fachgespräche, jeweils eine Person prüft, eine antwortet, eine schreibt mit. Zehn Minuten, danach Rückmeldung.

Drei Fallbeispiele zum Üben

Fallbeispiele sind die häufigste Form des Anwendungsteils. Sie erkennen sie daran, dass keine Definition verlangt wird, sondern ein Vorgehen. Die brauchbare Antwortform ist immer dieselbe: erst die Frage klären, dann messen oder prüfen, dann handeln, zuletzt absichern, dass es nicht wiederkommt.

„Ein Kunde meldet, die Anwendung sei seit heute früh langsam.”

Erwartet werden: Eingrenzung (alle Benutzer oder einer, alle Seiten oder eine, seit wann genau), Blick auf Dashboard und letzte Auslieferung, Unterscheidung zwischen Frontend, Anwendung, Datenbank und fremdem Dienst, Nennung der Werkzeuge (Server-Timing, Protokoll langsamer Abfragen, Trace), und am Ende eine Maßnahme samt Nachmessung. Wer sofort „wir bauen einen Cache ein” sagt, hat den Kern verfehlt.

„Ein Dienstleister soll künftig Ihre Newsletter versenden.”

Erwartet werden: Rolle des Dienstleisters (Auftragsverarbeiter), Vertrag nach Artikel 28, Serverstandort und Übermittlung in Drittstaaten, welche Felder überhaupt übermittelt werden, Rechtsgrundlage für den Versand (Einwilligung, granular und widerrufbar), Aufnahme ins Verarbeitungsverzeichnis, Löschung beim Dienstleister bei Kontolöschung, und technisch die Absicherung des Schlüssels sowie das Verhalten bei Ausfall.

„Sie sollen eine Spalte email in kontakt_email umbenennen. Die Anwendung läuft.”

Erwartet werden: die Feststellung, dass zwei Versionen gleichzeitig laufen, daraus das Vier-Schritte-Verfahren mit einer Auslieferung je Schritt, die Sperrenproblematik bei großen Tabellen, der Hinweis, dass der letzte Schritt ein eigenes Release ist, und die Begründung, warum dieses Vorgehen jedes Rollback gefahrlos macht.

Bauen Sie sich weitere Fälle aus dem eigenen Projekt. Jeder Vorfall, jeder Befund und jede Entscheidung des Jahres ist ein fertiges Fallbeispiel.

Rückmeldebogen für die Simulation, kurz halten:

| Kriterium | Beobachtung |
|---|---|
| Struktur (Begriff, Zusammenhang, Beispiel, Abwägung) | |
| Fachbegriffe richtig verwendet | |
| Beispiel aus dem eigenen Projekt | |
| Umgang mit Unsicherheit | |
| Zeit eingehalten, Tempo | |
| Haltung: Blickkontakt, Ruhe, Nachfragen abgewartet | |

Der Lückenplan

Führen Sie eine persönliche Liste, sonst wiederholen Sie drei Wochen lang das, was Sie ohnehin können.

| Thema | Sicherheit (1-3) | Was genau fehlt | Wann | Erledigt |
|---|---|---|---|---|
| OIDC-Token prüfen | 1 | Reihenfolge der Prüfschritte | Mo | |
| Isolationsstufen | 2 | Unterschied Repeatable Read / Serializable | Di | x |
| Fehlerbudget | 1 | Rechnung und Konsequenz | Mi | |

Arbeiten Sie die Einsen zuerst ab, in kurzen Einheiten, und prüfen Sie sich danach mündlich statt lesend. Wer einen Punkt zwei Tage später noch einmal erklären kann, kann ihn.

Häufige Stolperfallen

Begriffe auswendig lernen, ohne ein Beispiel dazu. Die erste Nachfrage deckt es auf.
Das eigene Projekt nicht als Antwortquelle nutzen, obwohl dort alles vorkommt.
Nur die Lieblingsthemen wiederholen.
Lesen statt sprechen. Beim Lesen fühlt sich alles bekannt an.
Erst in der letzten Woche merken, dass ein ganzer Themenkreis fehlt.
Die Liste der Themenbereiche der Schule nicht angesehen und stattdessen nach Gefühl gelernt.
Antworten erfinden statt Unsicherheit zu benennen.
Die Zeit nicht geübt. Zehn Minuten sind länger, als man denkt, und kürzer, als man braucht.

Lernergebnisse

Erklären: die Themenkreise des Schwerpunkts zusammenhängend darstellen und untereinander verknüpfen.
Analysieren: eine Prüfungsaufgabe erschließen, gliedern und im Zeitrahmen beantworten.
Erklären: eine Antwort nach Begriff, Zusammenhang, Beispiel und Abwägung aufbauen.
Erklären: Entscheidungen aus dem eigenen Projekt im Fachgespräch begründen und Alternativen benennen.
Beurteilen: eigene Wissenslücken erkennen, reihen und gezielt schließen.
Anwenden: mit Fragen umgehen, deren Antwort man nicht sicher weiß.

Arbeit am Jahresprojekt

Ihr System ist ab jetzt Ihr Prüfungsmaterial. Legen Sie eine Seite an, die je Themenkreis einen Beleg nennt:

| Themenkreis | Beleg im Projekt | Wo zu finden |
|---|---|---|
| Betrieb | Härtung des Servers, Compose-Aufbau | docs/haertung.md |
| Schnittstellen | Adapterschicht Zahlungsdienst | src/dienste/zahlung/ |
| Daten | Vier-Schritte-Migration | prisma/migrations/ |
| Frontend | Designsystem, fünf Zustände | docs/designsystem.md |
| Sicherheit | STRIDE, Befund B-04 | docs/sicherheit.md |
| Recht | Verarbeitungsverzeichnis | docs/datenschutz.md |
| Plattformen | Offline-Warteschlange | apps/mobil/ |
| Betriebsqualität | Wiederherstellung 2 h 40 | docs/betrieb.md |

Diese eine Seite ist der beste Spickzettel, den Sie haben dürfen, weil Sie ihn nicht mitnehmen müssen: Sie haben alles davon selbst gebaut.

Passende Übungen

Aufgabe - Themenkreis aufbereiten und der Klasse erklären
Aufgabe - Prüfungsaufgaben im Zeitrahmen
Aufgabe - Simuliertes Fachgespräch mit Rückmeldung