Von Untersuchungsfragen zu geeigneten Quellen

Zuerst werden die Fragen definiert, die später beantwortet werden sollen: Wer hat administrative Rechte geändert, welcher Zugang wurde verwendet, und wann begann eine auffällige Aktivität? Daraus ergibt sich, welche Protokolle von Identitätsdiensten, Servern, Anwendungen und Netzwerkkomponenten benötigt werden.

Webserver-Logs allein zeigen beispielsweise nicht jede wichtige Aktion innerhalb einer Fachanwendung. Umgekehrt ist das vollständige Mitschreiben sämtlicher Inhalte häufig unnötig und kann vertrauliche Daten erfassen. Relevante Ereignisarten und benötigte Felder werden deshalb bewusst ausgewählt statt pauschal alles zu speichern.

Zeitbezug, Transport und Zugriff absichern

Eine konsistente Zeitbasis ist entscheidend, um Ereignisse verschiedener Systeme zusammenzuführen. Auch Zeitzonen und Gerätebezeichnungen müssen erkennbar sein. Die Übertragung zu einer zentralen Ablage sollte zuverlässig und geschützt erfolgen; unterbrochene Verbindungen oder gestoppte Protokollierung müssen bemerkt werden können.

Passwörter, Zugangstokens und andere Geheimnisse gehören nicht unkontrolliert in Protokolle. Zugriff erhalten nur Personen mit einem begründeten Bedarf. Aufbewahrung, Löschung und die Behandlung personenbezogener Daten werden anhand des konkreten Zwecks und der einschlägigen Anforderungen abgestimmt.

Die Nutzung praktisch überprüfen

Bei der Abnahme werden vereinbarte Testereignisse ausgelöst und in der zentralen Sicht gesucht. Dabei zählen vollständige Felder, richtiger Zeitbezug und verständliche Zuordnung. Zusätzlich wird geprüft, ob ein Ausfall einer wichtigen Quelle erkannt wird und wer diesen Zustand bearbeitet.

Für ein Erstgespräch sind vorhandene Logquellen, bisherige Aufbewahrung und typische Untersuchungsfragen hilfreich. Das Ergebnis kann ein überschaubarer Ausbauplan sein, der zunächst besonders wichtige Ereignisse abdeckt. Ein grosses Datenvolumen ersetzt dabei weder passende Suchmöglichkeiten noch festgelegte Zuständigkeiten.

Ihre Checkliste für den nächsten Schritt

  • Konkrete Untersuchungsfragen vor der Auswahl von Logquellen formulieren.
  • Zeitstempel, Geräteidentität und geschützte Übertragung einheitlich behandeln.
  • Testereignisse wiederfinden und einen Ausfall wichtiger Quellen sichtbar machen.

Häufige Fragen

Ist zentrale Protokollierung bereits ein Sicherheitsmonitoring?

Noch nicht. Dafür braucht es zusätzlich passende Erkennungsregeln, Bewertung von Meldungen und einen festgelegten Reaktionsweg.

Sollten möglichst viele Daten möglichst lange gespeichert werden?

Nicht pauschal. Zweck, Nutzen, Kosten und Datenschutz müssen zusammenpassen. Geheimnisse und unnötige personenbezogene Inhalte sollten nicht wahllos erfasst werden.

Quellen & weiterführende Informationen

OWASP: Logging Cheat Sheet ↗

Fachliche Orientierung, Stand 25.10.2026. Der konkrete Befund erfordert Zugriff auf die betroffene Umgebung und eine abgestimmte Prüfung.