Was Protokolle beweisen können — und was nicht
Einführung · 5 Abschnitte · ~15 Min Lesezeit · Stand
Betriebsfrage
Nach einem Vorfall entscheidet nicht die Menge der Protokolle, sondern ob die richtigen Ereignisse erfasst, lange genug aufbewahrt und unverändert geblieben sind. Alle drei Bedingungen werden vor dem Vorfall festgelegt — danach lässt sich nichts mehr nachholen.
Mentales Modell
- Erzeugen
- Sammeln
- Aufbewahren
- Auswerten
- Belegen
Drei Spannungen
| Vollständigkeit gegen Kosten | Alles zu speichern ist teuer und macht die Suche langsam. Die Auswahl ist eine Risikoentscheidung, keine Budgetentscheidung. |
|---|---|
| Aufbewahrung gegen Datensparsamkeit | Personenbezogene Daten dürfen nicht unbegrenzt liegen bleiben; Vorfälle werden aber oft erst spät entdeckt. |
| Zugriff gegen Integrität | Wer Systeme administriert, darf deren Protokolle nicht unbemerkt verändern können — sonst belegen sie nichts. |
Was ein Protokoll belegt
- Ein Protokolleintrag belegt, dass ein System etwas berichtet hat — nicht zwingend, dass es geschehen ist.
- Fehlende Einträge sind nur dann ein Befund, wenn die Erfassung nachweislich aktiv war.
- Ohne gemeinsame Zeitbasis ist die Reihenfolge über Systeme hinweg nicht belegbar.