aiMOOC

Tests und Sicherheitsnachweise planen - Fachrichtungsbezogenes IT-Abschlussprojekt - Ausbildung

QR-Code

Einleitung

Ein gut geplantes IT-Projekt muss nicht nur funktionieren. Du musst auch zeigen können, welche Anforderungen geprüft wurden, wie du sie geprüft hast und wo Grenzen deiner Aussagen liegen. In diesem vollständigen aiMOOC lernst du das an einer erfundenen Abschlussprojekt-Situation für Fachinformatikerinnen und Fachinformatiker im 3. Ausbildungsjahr, Fachrichtung Anwendungsentwicklung. Du entwirfst Testfälle, wertest Messwerte aus, planst Sicherheitsnachweise und beurteilst eine Übergabeentscheidung. Alle Personen, Geräte, Konten, Messungen und Prüfprotokolle sind rein fiktiv.

Amtliche Einordnung, Stand 21.10.2026: Der KMK-Rahmenlehrplan, Beschluss 13.12.2019 gilt als Rahmen für den berufsbezogenen Berufsschulunterricht. Lernfeld 11a („Funktionalität in Anwendungen realisieren“) sieht unter anderem Testfälle und automatisierte Testverfahren vor; Lernfeld 12a („Kundenspezifische Anwendungsentwicklung durchführen“) verlangt Qualitätssicherung und Bewertung eines Kundenprojekts. Die davon getrennte betriebliche Ausbildung richtet sich nach der Verordnung FIAusbV vom 28.02.2020, auf die das BIBB-Berufsprofil verweist. Der Kurs enthält keine offiziellen Prüfungsaufgaben und stellt keine rechtliche oder fachliche Freigabe dar.

Auftrag, Umfang und Anforderungen festlegen

Der vollständig fiktive Fall

Die erfundene „LernLabor Beispiel GmbH“ benötigt eine kleine Webanwendung, in der Übungspersonen 20 erfundene Laptops reservieren. Die Anwendung besteht aus einer Browseroberfläche, einer Programmierschnittstelle und einer isolierten Datenbank mit 60 synthetischen Buchungsdatensätzen. Es gibt zwei künstliche Rollen: Buchung und Verwaltung. Weder reale Lernende noch produktive Konten oder betriebliche Unterlagen werden einbezogen. Der Projektumfang schließt Hardwareeingriffe und reale Produktion ausdrücklich aus.

Client und Server im Überblick: Urheber Lubaochuan, Wikimedia Commons, Dateiseite, Lizenz CC BY-SA 4.0. Die Beschriftung der Vorlage ist englisch.

Von Anforderungen zu messbaren Kriterien

Eine Anforderung beschreibt eine gewünschte Eigenschaft. Ein Akzeptanzkriterium beschreibt die konkrete Beobachtung, mit der du ihre Erfüllung prüfst. Ohne Sollwert bleiben Aussagen wie „schnell“ oder „sicher“ zu ungenau.

Kennung	Vereinbarte Anforderung	Überprüfbares Kriterium
A1	Doppelbuchung verhindern	Bei zwei gleichzeitigen künstlichen Reservierungsversuchen desselben Geräts wird genau eine Buchung bestätigt.
A2	Verwaltungsbereich schützen	Ein korrekt angemeldetes Buchungskonto erhält keinen Verwaltungsinhalt und einen Status für verweigerten Zugriff.
A3	Datensparsame Protokolle	In Testprotokollen tauchen keine Passwörter, Zugriffstoken oder vollständige privaten Datensätze auf.
A4	Reaktionszeit begrenzen	Bei 100 definierten künstlichen Anfragen liegt das 95. Perzentil der Antwortzeiten bei höchstens 500 Millisekunden.
A5	Prüfbarkeit sichern	Zu jedem Test existieren Kennung, Bedingungen, Schritte, Soll, Ist, Softwareversion und Prüferrolle.

Merke: Die Kriterien gelten nur für diese Übung. Ein Lastkriterium mit 100 Anfragen ist keine Zusage für beliebige Nutzerzahlen und keine technische Norm.

Teststrategie und Testfallauswahl

Teststufen verständlich unterscheiden

Ein Komponententest prüft eine kleine Softwareeinheit, zum Beispiel eine Funktion zur Erkennung von Buchungskonflikten. Der Integrationstest untersucht das Zusammenwirken von Schnittstelle und Datenbank. Ein Systemtest betrachtet die Anwendung als Gesamtheit. Der Abnahmetest bezieht sich auf die vereinbarten Erwartungen der auftraggebenden Rolle. Viele schnelle kleine Prüfungen und weniger umfangreiche End-to-End-Prüfungen können zusammen eine wirtschaftliche Teststrategie bilden.

Testpyramide: Abbe98, Wikimedia Commons, Originaldatei, Lizenz CC BY-SA 4.0. Englische Ebenen: Unit, Integration und End-to-End.

Risiken priorisieren und Tests zuordnen

Die Rückverfolgbarkeit verbindet eine Anforderung mit Testfall und Resultat. Plane positive und negative Beispiele. A2 hat hohe Priorität, weil ein unberechtigter Zugriff die Vertraulichkeit gefährdet. Ein Darstellungsfehler ohne Einfluss auf Nutzbarkeit oder Schutz ist im Modell niedriger priorisiert.

Test	Bezug	Prüfidee	Auswertung
T01	A1	Zwei künstliche Buchungen desselben Geräts	Nur eine Zusage
T02	A1	Freies Gerät einmal reservieren	Buchung korrekt gespeichert
S01	A2	Buchungsrolle fragt Verwaltungsansicht an	Kein geschützter Inhalt wird angezeigt
S02	A3	Fiktives Log nach Testmarkern durchsuchen	Keine Geheimnis-Marker im Log
P01	A4	100 synthetische Antwortzeiten messen	95. Perzentil höchstens 500 ms
D01	A5	Testbericht von zweiter Person nachvollziehen lassen	Umgebung und Schritte vollständig

Datei:Traditional-Shift-Left.jpg

Frühzeitige Qualitätssicherung als „Shift Left“: DonFiresmith, Wikimedia Commons, Dateiseite, Lizenz CC BY-SA 4.0.

Frühzeitige Prüfungen decken schon in der Planung Unklarheiten auf. Ein Eintrag wie „System ist schnell“ kann nicht objektiv beurteilt werden; die Angabe „95. Perzentil maximal 500 ms bei 100 Anfragen im definierten Modellaufbau“ ist dagegen überprüfbar.

Reproduzierbare Prüfungen und quantitative Auswertung

Einen vollständigen Testfall verfassen

Für T01 lautet die Vorbedingung: Die isolierte Übungsdatenbank enthält 20 erfundene Geräte und noch keine Buchungen. Zwei künstliche Konten fordern denselben Zeitraum für Gerät G07 an. Ein Prüfskript oder eine Simulation setzt beide Anfragen ab und prüft danach die gespeicherten Buchungen. Soll: ein erfolgreicher und ein abgewiesener Reservierungswunsch sowie genau ein gespeicherter Datensatz. Simuliertes Ist: genau ein Eintrag. Der Test besteht nur im beschriebenen Szenario. Dokumentiere zusätzlich Build-Kennung, Uhrzeit, Testdaten-Version und Wiederholbarkeit.

Eine Testdokumentation beantwortet fünf Fragen: Was wurde geprüft? Unter welchen Bedingungen? Mit welchem Soll? Was trat tatsächlich ein? Welche Schlussfolgerung ist in diesem Umfang erlaubt? Ein Protokoll ohne Istwert ist kein ausreichender Nachweis.

Kennzahlen mit korrekten Einheiten berechnen

Für P01 werden 100 fiktive Antwortzeiten in Millisekunden aufsteigend sortiert. Wir verwenden ausdrücklich die Nearest-Rank-Methode: Bei 100 Werten steht das 95. Perzentil an Rang 95. Dieser Wert beträgt in unserem Beispieldatensatz 420 ms. Der größte Messwert beträgt 630 ms. Das vereinbarte Perzentilkriterium von höchstens 500 ms ist erfüllt, obwohl einzelne Anfragen mehr Zeit benötigen. Das ist kein Widerspruch: Perzentil und Maximum beantworten unterschiedliche Fragen. Weitere Versuche mit anderer Last können andere Werte ergeben.

Die angesetzte Arbeitszeit ist ebenfalls fiktiv: Vorbereitung 12 Minuten, Funktionstests 18 Minuten, Rollenprüfungen 15 Minuten und Auswertung 10 Minuten. Insgesamt ergibt dies 55 Minuten. Für unvorhergesehene Nacharbeiten ist zusätzlicher Puffer nötig. Schätze Zeiten separat von den tatsächlich ermittelten Zeiten und dokumentiere jede Abweichung.

Sicherheitsnachweise ohne Scheinsicherheit planen

Schutzziele und Prüfumfang

Bei der Informationssicherheit unterscheidest du Vertraulichkeit (Daten nur für Berechtigte), Integrität (keine unberechtigte Veränderung) und Verfügbarkeit (Funktionen sind zuverlässig erreichbar). Für A2 wird Vertraulichkeit als konkrete Rollentrennung untersucht. Der Test einer einzigen Rollenentscheidung ist nur ein begrenzter Sicherheitsnachweis. Er belegt weder vollständige Sicherheit noch eine Zertifizierung.

Symbol für geschützten Zugang: AJ Ashton, Wikimedia Commons/Open Clip Art Library, Originaldatei, CC0 1.0.

Orientierung bietet der OWASP Web Security Testing Guide, dessen stabile Fassung laut Projektseite am 21.10.2026 Version 4.2 vom 03.12.2020 ist; Version 5.0 befindet sich in Entwicklung. Unterschieden werden unter anderem Autorisierung, Authentifizierung, Sitzungen und Eingabeprüfung. Der BSI-Baustein ORP.4, Edition 2023 gibt fachliche Hinweise zum Identitäts- und Berechtigungsmanagement. Hier werden nur eigene Erläuterungen verwendet, keine geschützten Normvolltexte.

Nur in autorisierten Übungen arbeiten

S01 prüft mit zwei künstlichen Konten den Zugriff auf die reservierte Verwaltungsansicht. Das Buchungskonto muss abgewiesen werden; die Verwalterrolle darf nur ihre vereinbarten Funktionen erhalten. S02 kontrolliert mit eindeutig erfundenen Prüfwörtern, dass Zugangsgeheimnisse nicht in einer Testprotokolldatei landen. Weder fremde Konten noch externe Server werden untersucht.

Animation des prinzipiellen Pakettransports; kein Sicherheits- oder Verschlüsselungsnachweis. Oddbodz, Wikimedia Commons, Originaldatei, CC BY-SA 3.0.

Akustisches Beispiel zur Medienprüfung: Computer keyboard.ogg, Tonaufnahme von russiandoll, laut Commons gemeinfrei. Die Aufnahme kann in einem getrennten, fiktiven Medien-Test überprüft werden. Sie dient nicht als Nachweis für Datenschutz oder Zugriffsrechte.

Eine fachlich verantwortliche Person muss echte Sicherheitstests beaufsichtigen und genehmigen. Es gibt keine Arbeiten an realen Kranen, elektrischen Anlagen, Drucksystemen oder Gefahrstoffen. In beruflichen Umgebungen gelten zusätzliche betriebliche Verfahren und Qualifikationspflichten. Der Kurs ersetzt keine Befähigungsnachweise.

Befunde bewerten und begründet übergeben

Die Nachweiskette lesen

Eine gute Nachweiskette verbindet Anforderung, Testfall, Durchführung, tatsächliche Beobachtung, Bewertung und nötigen Wiederholungstest. Im ersten vollständig erfundenen Durchlauf bestehen 19 von 20 Prüfpunkten. Das entspricht 19 geteilt durch 20 gleich 0,95 oder 95 Prozent. Diese Quote ist keine Angabe zur Gesamt-Sicherheit.

Der fiktive Rollenprüfpunkt S01 schlägt zunächst fehl: Die Trainingsanwendung zeigt einen geschützten Verwaltungseintrag für die Rolle Buchung an. Das ist ein kritischer Befund; die Übergabe wird zunächst nicht empfohlen. Nach einer Korrektur in einer zweiten erfundenen Softwareversion wird dieselbe Rollenprüfung erfolgreich wiederholt. Anschließend gelten 20 von 20 definierte Prüfpunkte als bestanden. Ein solcher Erfolg begrenzt Risiken, hebt sie jedoch nicht vollständig auf. Die fachliche Abnahmeentscheidung ist eine gesonderte Aufgabe der zuständigen Stelle.

Bericht, Übergabe und Reflexion

Ein Beispielprotokoll für die erfolgreiche Wiederholung lautet: S01; Version DEMO-1.1; Testrolle QA; isoliertes Übungssystem; Erwartung kein Verwaltungszugriff; Beobachtung Zugriff abgewiesen; Ergebnis bestanden; fiktiver Zeitstempel 14:10 Uhr. Der Bericht enthält zudem ungeprüfte Szenarien, offene Punkte und notwendige Folgemaßnahmen. Es darf nicht behauptet werden, mit dem Übungsfall eine reale Sicherheitsfreigabe oder rechtsverbindliche Abnahme erworben zu haben.

Zur vertiefenden Recherche hat Avsar Test Engineering einen deutschsprachigen Beitrag über Unit Tests auf seinem eigenen Anbieterprofil verlinkt. Der Beitrag ist hier als externer Quellenhinweis ausgewiesen und nicht als unabhängig überprüftes eingebettetes Video.

Interaktive Aufgaben

Quiz: Teste dein Wissen

Wann ist ein Kriterium nachweisbar? (Wenn Soll und Beobachtung eindeutig vergleichbar sind) (!Wenn nur eine Vermutung vorliegt) (!Wenn die Oberfläche schön aussieht) (!Wenn das Ergebnis geheim bleibt)

Rückmeldung: Ein Test benötigt ein vorab festgelegtes Soll und eine nachvollziehbare Beobachtung.

Was prüft ein Integrationstest? (Das Zusammenwirken mehrerer Komponenten) (!Nur die Rechtschreibung eines Namens) (!Ausschließlich Farben der Oberfläche) (!Die Richtigkeit jeder denkbaren Ausführung)

Rückmeldung: Gerade die Schnittstelle zur Testdatenbank kann Integrationsprobleme aufdecken.

Welcher Test prüft eine einzelne Buchungsregel möglichst isoliert? (Komponententest) (!Kundenumfrage) (!Hardwarelagerkontrolle) (!Sicherheitszertifizierung)

Rückmeldung: Eine isolierte Regel kann mit wenigen kontrollierten Eingaben geprüft werden.

Was ist bei nicht erlaubtem Verwaltungszugriff das Ziel? (Kein Verwaltungsinhalt wird ausgegeben) (!Jede Rolle bekommt Vollzugriff) (!Passwörter erscheinen im Protokoll) (!Die Anwendung entfernt alle Prüfschritte)

Rückmeldung: Rollenrechte müssen pro geschützter Funktion kontrolliert und mit negativen Testfällen belegt werden.

Welche Daten eignen sich für diesen Ausbildungsfall? (Synthetische Geräte und erfundene Konten) (!Echte Schulnoten) (!Fremde Zugangskennwörter) (!Unveränderte Patientenakten)

Rückmeldung: Künstliche Daten erfüllen den Lernzweck und vermeiden unnötige reale personenbezogene Daten.

Wie viel Prozent sind 19 bestandene Punkte von 20? (95 Prozent) (!5 Prozent) (!20 Prozent) (!190 Prozent)

Rückmeldung: Durch Division 19 durch 20 und Multiplikation mit 100 ergibt sich 95.

Was bedeutet p95 gleich 420 Millisekunden in unserem Versuch? (Das definierte 500-ms-Perzentilkriterium ist erfüllt) (!Jede Anfrage ist kürzer als 420 ms) (!Der Maximalwert beträgt genau 420 ms) (!Das System bleibt unbegrenzt belastbar)

Rückmeldung: Die 95. geordnete Messung beträgt 420 ms; sie ist nicht mit dem Maximalwert identisch.

Was dokumentiert ein begrenzter Sicherheitsnachweis? (Konkrete Prüfergebnisse unter bestimmten Bedingungen) (!Völlige Abwesenheit aller Schwachstellen) (!Die gesetzliche Zulassung jeder Software) (!Eine unbefristete Herstellerfreigabe)

Rückmeldung: Die dokumentierte Beweiskraft reicht nur so weit wie Prüfumfang und Testbedingungen.

Wie reagiert das Projektteam auf einen kritischen Berechtigungsbefund? (Befund dokumentieren, korrigieren und erneut prüfen) (!Das Ergebnis aus dem Protokoll löschen) (!Die Sollvorgabe still ändern) (!Sofortige Gesamtsicherheit bescheinigen)

Rückmeldung: Eine ungeklärte Berechtigungslücke verhindert eine sachlich begründete positive Übergabeempfehlung.

Wofür dient der KMK-Rahmenlehrplan? (Für den berufsbezogenen Schulunterricht) (!Für die Vergabe von Systemadministratorrechten) (!Als Passwortalgorithmus) (!Als Ersatz für die betriebliche Ausbildungsordnung)

Rückmeldung: Die KMK-Lernfelder beschreiben schulische Kompetenzen; die FIAusbV regelt die Bundesausbildung im Betrieb.

Memory

Finde sechs zusammengehörige Paare aus dem Themenbereich des Kurses.

Akzeptanzkriterium	Messbare Bedingung für die Erfüllung einer Anforderung
Komponententest	Isolierte Prüfung einer Funktion
Integrationstest	Prüfung der Zusammenarbeit technischer Teile
Autorisierung	Entscheidung über erlaubte Nutzung
Restrisiko	Trotz Maßnahmen verbleibende Unsicherheit
Perzentil	Lagewert einer sortierten Messreihe

Drag-and-Drop

Ordne fünf Tätigkeiten den passenden Fachbegriffen zu.

Fachbegriff	Tätigkeitsbeschreibung
Anforderungsanalyse	Erwartungen klären und messbar formulieren
Testentwurf	Prüfschritte und Sollwerte festlegen
Testausführung	Vorgegebene Prüfungen in der Testumgebung durchführen
Nachprüfung	Nach einer Korrektur erneut denselben Sachverhalt prüfen
Dokumentation	Beobachtungen mit Version und Bedingungen festhalten

Kreuzworträtsel

Ergänze je ein Fachwort zur passenden Frage.

Testfall	Wie heißt eine konkrete Prüfung mit Voraussetzungen und erwarteter Beobachtung?
Integrität	Welches Schutzziel meint die Unversehrtheit von Daten?
Perzentil	Welcher Begriff bezeichnet einen Lagewert in einer Messwertverteilung?
Freigabe	Wie heißt die Entscheidung einer zuständigen Stelle zur Übergabe?
Testbericht	Welches Dokument fasst Prüfumfang und Resultate zusammen?
Restrisiko	Was bleibt nach der Behandlung bekannter Risiken weiterhin möglich?

LearningApps

Ergänzend kannst du auf LearningApps nach passenden Übungen recherchieren. Nicht jede externe App ist fachlich geprüft.

Lückentext

Eine konkrete Prüfung mit Sollwert heißt

.

Die messbare Bedingung für eine Anforderung ist das

.

Das Zusammenspiel von API und Datenbank bewertet ein

.

Ein Test einer isolierten Funktion wird

genannt.

Die Entscheidung über einen erlaubten Zugriff heißt

.

Das Schutzziel gegen unbefugte Änderungen heißt

.

Ein statistischer Lagewert von Antwortzeiten ist ein

.

Der erste fiktive Durchlauf erreicht

als Einheit der Quote.

Nicht vollständig beseitigte Unsicherheit bezeichnet man als

.

Nach einer Korrektur ist eine erneute

erforderlich.

Offene Aufgaben

Leicht

Ziele präzisieren: Schreibe für die Buchungsfunktion zwei eigene Akzeptanzkriterien mit konkreten Sollwerten.
Testfall beschreiben: Beschreibe die Vorbedingung, Eingaben, Schritte, Soll und Ist eines künstlichen Buchungstests.
Schutzziele darstellen: Veranschauliche drei Schutzziele mit kurzen erfundenen Beispielen.
Teststufen zeichnen: Erstelle ein beschriftetes Schaubild der Teststufen und erläutere ihren Zweck.

Standard

Traceability entwickeln: Entwirf eine Tabelle von fünf Anforderungen über passende Tests bis zu erwarteten Nachweisen.
Antwortzeiten auswerten: Berechne anhand von 100 selbst erfundenen Millisekundenwerten Rang 95 und vergleiche ihn mit dem 500-ms-Ziel.
Berechtigungen zuordnen: Zeichne eine Rollenmatrix mit Buchung und Verwaltung und erkläre negative Testfälle.
Log prüfen: Erstelle ein künstliches Protokoll, kennzeichne kritische Inhalte und entwirf eine datensparsame Alternative.

Schwer

Prüfautomatisierung planen: Schreibe Pseudocode für den doppelten Buchungsversuch und erläutere die reproduzierbaren Bedingungen.
Risiken priorisieren: Erstelle eine Matrix aus Auswirkung und Wahrscheinlichkeit sowie einer begründeten Maßnahmenreihenfolge.
Abnahmebericht begründen: Schreibe einen professionellen Bericht über das fiktive Ergebnis mit 19 von 20 Erfolgen und offenem Sicherheitsbefund.
Fachgespräch durchführen: Simuliere eine Übergabebesprechung und verteidige die Aussagegrenzen eines bestandenen Lasttests.

Lernkontrolle

Teststufen kombinieren: Begründe die Auswahl von Komponententest, Integrationstest und Abnahmetest für A1.
Befund gewichten: Erkläre, warum ein kritischer Zugriff trotz hoher Gesamtquote zur abgelehnten Übergabe führen kann.
Perzentil erläutern: Zeige an einer geordneten Stichprobe, wie p95 und Maximum unterschiedliche Aussagen liefern.
Prüfdaten minimieren: Beschreibe einen nachvollziehbaren Sicherheitsbeleg ganz ohne realen personenbezogenen Inhalt.
Lernorte unterscheiden: Trenne die schulische Bedeutung von Lernfeld 11a und 12a von der betrieblichen FIAusbV.
Transfer durchführen: Übertrage die Nachweiskette auf eine neue fiktive Verwaltungssoftware mit zwei Risiken und konkreten Prüfschritten.

Lernnachweis

Als Lernprodukte reichst du ein Testkonzept mit Umfang, Begründung und Grenzen ein, eine Anforderungs-Test-Matrix mit fünf Zeilen, mindestens fünf Testbeschreibungen, eine nachgerechnete Lastkennzahl samt Millisekundeneinheit und Perzentilverfahren, ein fiktives Sicherheitsprotokoll sowie einen begründeten Übergabebericht. Unterscheide stets zwischen geplanten, simulierten und tatsächlich bestätigten Befunden. Nichts davon ist eine offizielle Prüfungsaufgabe oder eine fachliche Sicherheitsabnahme.

OER und Wikipedia

Amtliche und fachliche Fundstellen (recherchierter Stand 21.10.2026):

KMK-Rahmenlehrplan für Fachinformatiker, beschlossen am 13.12.2019, schulische Lernfelder 11a und 12a.
BIBB-Berufsprofil und Ausbildungsordnung FIAusbV vom 28.02.2020, betriebliche Ausbildungsgrundlage.
OWASP Web Security Testing Guide, stabile Ausgabe 4.2 vom 03.12.2020, Ausgabe 5.0 in Entwicklung.
BSI IT-Grundschutz ORP.4, Ausgabe 2023.
Wikipedia: Softwaretest, weiterführendes freies Nachschlagewerk.

Rechte- und Herkunftsnachweise der konkreten Medien:

Dateiname	Quelle	Urheber	Rechte
File:Client-server model.svg	Commons	Lubaochuan	CC BY-SA 4.0
File:Testing Pyramid.svg	Commons	Abbe98	CC BY-SA 4.0
File:Traditional-Shift-Left.jpg	Commons	DonFiresmith	CC BY-SA 4.0
File:Padlock.svg	Commons	AJ Ashton	CC0 1.0
File:Packet Switching.gif	Commons	Oddbodz	CC BY-SA 3.0
File:Computer keyboard.ogg	Commons	russiandoll	Gemeinfrei laut Commons

Die Bildmedien sind unverändert wiedergegeben. Audio ist als externer Commons-Dateilink aufgeführt. Ein vom Anbieter belegter deutschsprachiger Videoverweis steht im Fachkapitel.