Logging, das im Ernstfall trägt
Die meisten Systeme protokollieren viel und beweisen wenig. Welche Ereignisse tatsächlich gebraucht werden, wie lange sie aufbewahrt werden dürfen und warum die Uhr entscheidend ist.
Nach einem Vorfall stellt sich immer dieselbe Frage: Wer hat wann was getan? Beantworten lässt sie sich nur mit Protokollen, die vorher existierten. Nachträglich einschalten ist keine Option – und genau deshalb ist Logging eine forensische Vorbereitung, keine Betriebsaufgabe.
Was mindestens protokolliert werden muss
| Ereignis | Warum es zählt |
|---|---|
| Anmeldungen, erfolgreich und fehlgeschlagen | Erkennt Zugriffsversuche und den Zeitpunkt der Übernahme |
| Rechteänderungen und neue Konten | Der klassische Schritt nach einer erfolgreichen Übernahme |
| Zugriff auf besonders geschützte Daten | Belegt oder entlastet beim Verdacht auf Datenabfluss |
| Export- und Massenabfragen | Ein einzelner Export kann der eigentliche Schaden sein |
| Änderungen an der Konfiguration | Zeigt, wann Schutzmechanismen abgeschaltet wurden |
| Administrative Handlungen | Ohne sie ist keine Innentäter-Analyse möglich |
Manipulationsschutz
- Protokolle zeitnah auf ein separates System übertragen, auf das die überwachten Systeme keinen Schreibzugriff zum Ändern haben.
- Nur Anhängen erlauben, kein Löschen und kein Überschreiben.
- Zugriff auf die Protokollablage auf wenige Personen beschränken und diesen Zugriff selbst protokollieren.
- Regelmäßig prüfen, ob die Übertragung tatsächlich läuft – der häufigste Befund ist ein seit Monaten stiller Kanal.
Aufbewahrung: die Gratwanderung
Protokolle sind in aller Regel personenbezogene Daten. Sie unterliegen damit der Zweckbindung und der Speicherbegrenzung nach Art. 5 DSGVO: so lange wie nötig, so kurz wie möglich. In der Praxis hat sich eine gestufte Aufbewahrung bewährt – kurze Fristen für allgemeine Betriebsprotokolle, längere für sicherheitsrelevante Ereignisse, jeweils schriftlich begründet und im Verarbeitungsverzeichnis hinterlegt.
Der Test, den kaum jemand macht
Stellen Sie eine konkrete Frage und versuchen Sie, sie ausschließlich mit vorhandenen Protokollen zu beantworten: Welche Datensätze hat Benutzer X am vergangenen Dienstag zwischen 14 und 16 Uhr gesehen? Wenn diese Frage länger als eine Stunde dauert oder unbeantwortbar bleibt, trägt das Logging im Ernstfall nicht. Diese Übung gehört einmal jährlich in den Kalender.
Klingt nach Ihrem Thema?
Wir bauen und betreiben Software für Branchen, die von großen Anbietern übersehen werden – und prüfen sie selbst auf Sicherheit. Schildern Sie uns Ihre Ausgangslage.
Projekt besprechenPassend dazu
Die ersten 24 Stunden nach einem IT-Vorfall
In den ersten Stunden wird entschieden, ob ein Vorfall später aufklärbar ist. Eine Reihenfolge, die Spuren sichert, statt sie zu vernichten.
Security Audit: worauf wir bei Webanwendungen schauen
Die Befunde wiederholen sich. Die Prüfpunkte, mit denen wir jede Anwendung beginnen – und die Klassen von Fehlern, die dabei fast immer auftauchen.