# Protokollierung und Beweisführung

> Protokolle als belastbare Aussage: Auswahl statt Vollständigkeit, Aufbewahrung gegen Datensparsamkeit, Integrität der Kette und die Unterscheidung zwischen Beobachtung und Beweis.

Track: [Classic IT Ops](https://physar.tech/learn/classic-itops)  
Kanonische Fassung: https://physar.tech/learn/classic-itops/logging-evidence  
Stand: 2026-07-30  
Interaktiver Teil: 3 Checks (nur im Browser)

## Was Protokolle beweisen können — und was nicht

### Betriebsfrage

Nach einem Vorfall entscheidet nicht die Menge der Protokolle, sondern ob die richtigen Ereignisse erfasst, lange genug aufbewahrt und unverändert geblieben sind. Alle drei Bedingungen werden vor dem Vorfall festgelegt — danach lässt sich nichts mehr nachholen.

### Mentales Modell

Erzeugen → Sammeln → Aufbewahren → Auswerten → Belegen

### Drei Spannungen

|  |  |
| --- | --- |
| Vollständigkeit gegen Kosten | Alles zu speichern ist teuer und macht die Suche langsam. Die Auswahl ist eine Risikoentscheidung, keine Budgetentscheidung. |
| Aufbewahrung gegen Datensparsamkeit | Personenbezogene Daten dürfen nicht unbegrenzt liegen bleiben; Vorfälle werden aber oft erst spät entdeckt. |
| Zugriff gegen Integrität | Wer Systeme administriert, darf deren Protokolle nicht unbemerkt verändern können — sonst belegen sie nichts. |

### Was ein Protokoll belegt

- Ein Protokolleintrag belegt, dass ein System etwas berichtet hat — nicht zwingend, dass es geschehen ist.
- Fehlende Einträge sind nur dann ein Befund, wenn die Erfassung nachweislich aktiv war.
- Ohne gemeinsame Zeitbasis ist die Reihenfolge über Systeme hinweg nicht belegbar.

> **Kern:** Beweiskraft entsteht aus **Herkunft, Unveränderlichkeit und Zeitbezug** — nicht aus Detailtiefe.

### Route

> **Transfer:** Die Checks behandeln die Auswahl unter Kostendruck, die Trennung von Administration und Protokollhoheit sowie die Aussagekraft eines Befundes.

## Quellen

- csrc.nist.gov/pubs/sp/800/92/final — https://csrc.nist.gov/pubs/sp/800/92/final
- csrc.nist.gov/pubs/sp/800/61/r2/final — https://csrc.nist.gov/pubs/sp/800/61/r2/final
- csrc.nist.gov/pubs/sp/800/53/r5/upd1/final — https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final