Protokolldaten können helfen, technische Störungen und Sicherheitsereignisse nachzuvollziehen. Ihr Unternehmen braucht dafür eine bewusste Entscheidung darüber, welche Ereignisse erfasst werden, wer sie auswertet und wann die Daten wieder gelöscht werden. Eine möglichst große Sammlung beantwortet diese Fragen nicht. Bevor Sie zusätzliche Speicher- oder Auswertungsdienste beauftragen, lohnt sich ein begrenztes Protokollierungskonzept. Es verbindet den tatsächlichen Untersuchungsbedarf mit Datenumfang, Zuständigkeiten und einem nachvollziehbaren Lebenszyklus. So können Sie Angebote anhand derselben Anforderungen vergleichen.
Mit einer konkreten Frage an die Protokolle beginnen
Wählen Sie einige tatsächliche Fragen aus Ihrem Betrieb. Möchten Sie einen fehlgeschlagenen Zugriff erklären, eine wichtige Konfigurationsänderung nachvollziehen oder den Ausfall einer Anwendung eingrenzen? Jede dieser Aufgaben kann andere Ereignisse benötigen. Der Dienstleister sollte erklären, welche Quelle die erforderliche Information liefert. Ein allgemeines Angebot zum Sammeln aller Logs lässt offen, ob die später entscheidende Frage mit dem gewählten Datenbestand überhaupt beantwortet werden kann.
Unterscheiden Sie Sicherheitszwecke von anderen Auswertungen. Ein Protokoll, das für die technische Fehlerbearbeitung benötigt wird, sollte nicht beiläufig zu einer umfassenden Leistungsbewertung von Beschäftigten umfunktioniert werden. Lassen Sie neue Zwecke gesondert durch die zuständigen Fachpersonen beurteilen. Ihr Unternehmen braucht eine verständliche Zuordnung zwischen Datenerhebung und zulässiger Nutzung. Eine zusätzliche Auswertungsmöglichkeit eines Werkzeugs ist für sich allein noch kein ausreichend beschriebener betrieblicher Bedarf.
Halten Sie außerdem fest, wer die Antworten tatsächlich verwendet. Eine Meldung für die interne IT-Betreuung kann einen anderen Umfang haben als eine dokumentierte Untersuchung durch einen externen Spezialisten. Die Sammlung sollte nicht nur technisch entstehen, sondern an einen erreichbaren Bearbeitungsprozess angeschlossen sein. Fragen Sie deshalb bereits in der Planung, welche Stelle einen Anlass erkennt, welche Informationen sie erhält und welche Entscheidung sie damit vorbereiten soll.
Quellen und Datenfelder bewusst erfassen
Erstellen Sie eine Übersicht der vorgesehenen Protokollquellen. Dazu können zentrale Anmeldedienste, Anwendungen und betreute Netzwerkkomponenten gehören. Der Dienstleister sollte vorhandene Möglichkeiten und erkennbare Lücken am tatsächlichen Bestand feststellen. Eine Produktliste reicht dafür nicht. Entscheidend ist, ob die bezeichnete Quelle die benötigten Ereignisse in der vorhandenen Betriebsvariante tatsächlich bereitstellt und wer ihre Einrichtung verändern darf.
Lassen Sie die relevanten Datenfelder erläutern. Welche Angaben werden zur Beantwortung der konkreten Frage benötigt und welche Inhalte würden darüber hinaus gespeichert? Prüfen Sie insbesondere, ob unnötige Nachrichteninhalte, Zugangsmittel oder andere sensible Informationen in die Sammlung geraten könnten. Der passende Umgang wird an der jeweiligen Quelle festgelegt. Ein allgemeines Verbot ohne technische Prüfung kann ebenso an der Wirklichkeit vorbeigehen wie ein ungefilterter Export sämtlicher vorhandener Felder.
Das BSI fordert im Baustein OPS.1.1.5 eine Protokollierungsrichtlinie, die unter anderem regelt, wie, wo und was erfasst wird. Umfang und Art sollen am Schutzbedarf ausgerichtet werden. Für Ihren Auftrag ist das ein brauchbarer Ausgangspunkt: Die Planung sollte die ausgewählten Ereignisse erklären und nicht nur ein Speicherziel nennen. Die Veröffentlichung trägt die Edition 2023. BSI: OPS.1.1.5 Protokollierung
Aufbewahrungszeiten aus dem Zweck ableiten
Legen Sie keine pauschale Dauer für sämtliche Protokolle fest, nur weil ein Werkzeug sie als Voreinstellung anbietet. Fragen Sie, welchen zeitlichen Rückblick Ihr Unternehmen für den bezeichneten Zweck benötigt und worauf diese Einschätzung beruht. Unterschiedliche Quellen können unterschiedliche Bedürfnisse haben. Die zuständigen technischen und rechtlichen Fachpersonen sollten gemeinsam eine begründete Zuordnung vornehmen, die den tatsächlichen Einsatz der Daten berücksichtigt.
Soweit personenbezogene Daten betroffen sind, verlangt Artikel 5 DSGVO unter anderem Datenminimierung und Speicherbegrenzung. Eine unbegrenzte Sammlung lässt sich deshalb nicht allein mit einem allgemeinen Wunsch nach Sicherheit erklären. Die konkrete Aufbewahrung und mögliche besondere Gründe werden fachlich geprüft. Die BfDI stellt die Verordnung in einer Originaltextsammlung vom März 2026 bereit. BfDI: DSGVO und BDSG
Beschreiben Sie, wann die jeweilige Frist beginnt und welche Stelle die festgelegte Regel verwaltet. Wenn es für eine bestimmte Datenart keine bestätigte Vorgabe gibt, sollte diese Frage offenbleiben, bis sie geklärt wurde. Eine aus einem anderen Projekt übernommene Zahl ist keine ausreichende Begründung. Für den Angebotsvergleich reicht zunächst die benannte offene Entscheidung mit ihrer zuständigen Fachperson; der Anbieter kann die erforderliche Konfiguration danach passend kalkulieren.
Sammlung, Auswertung und Archiv auseinanderhalten
Fragen Sie, welche Aufgaben die vorgesehene Lösung tatsächlich übernimmt. Eine zentrale Ablage kann Ereignisse verfügbar machen, ohne sie bereits fachlich auszuwerten. Eine laufende Auswertungsleistung kann wiederum nur einen Teil der verfügbaren Quellen betrachten. Beide können sinnvoll sein, wenn ihre Grenzen bekannt sind. Lassen Sie beschreiben, wer die Daten tatsächlich bearbeitet und welche Information Ihr Unternehmen bei einem relevanten Ereignis erhält.
Wenn ältere Daten in einen anderen Bereich verschoben werden sollen, klären Sie dessen Zweck und Nutzbarkeit. Sind sie dort noch recherchierbar, wer kann sie bereitstellen und welche zusätzliche Mitwirkung ist dafür erforderlich? Eine große nominelle Speichermenge sagt wenig über die praktische Auskunftsfähigkeit aus. Vereinbaren Sie einen passenden Nachweis für den benötigten Zugriff, statt einen ungetesteten Ablageweg als vollständige Lösung für spätere Rückfragen zu behandeln.
Die Datenqualität gehört in dieselbe Betrachtung. Das BSI nennt unter anderem abgestimmte Systemzeiten und eine nachvollziehbare Aufbereitung für die Auswertung. Fragen Sie, wie die tatsächlich verwendeten Quellen zeitlich und inhaltlich zugeordnet werden. Ein Bericht sollte erkennbare Lücken benennen. Wenn ein Ereignis in einer Quelle fehlt oder nicht eindeutig vergleichbar ist, darf die Auswertung daraus keine scheinbar genaue vollständige Abfolge erzeugen.
Zugriff und Export begrenzen
Benennen Sie, welche Rollen die Protokolle einsehen dürfen und für welchen Anlass. Die bloße Zuständigkeit für eine Anwendung muss nicht automatisch einen vollständigen Zugriff auf sämtliche gesammelten Quellen bedeuten. Lassen Sie das konkrete Rollenmodell erklären. Für eine externe Betreuung sollte erkennbar sein, welche Einsicht sie zur vereinbarten Aufgabe benötigt und wie die entsprechenden Berechtigungen eingerichtet und später wieder überprüft werden.
Klären Sie auch die Weitergabe von Auszügen. Ein technischer Supportfall kann einzelne Ereignisse benötigen, ohne dass der vollständige Datenbestand übertragen werden muss. Vereinbaren Sie einen passenden begrenzten Export und einen geschützten Übermittlungsweg. Die ausgegebene Information sollte ihren Ursprung und ihren Umfang erkennen lassen. So kann der Empfänger die Aussage nachvollziehen, während Ihr Unternehmen keine unnötigen zusätzlichen Kopien im allgemeinen Nachrichtenverkehr erzeugt.
Fragen Sie nach dem Umgang mit besonders weitreichenden Auswertungswünschen. Wer prüft, ob sie vom vereinbarten Zweck gedeckt sind? Wer darf zusätzliche Quellen oder einen längeren Zeitraum freigeben? Ein klarer Entscheidungsweg verhindert, dass ein zunächst begrenztes Betriebskonzept schrittweise zu einer unkontrollierten Datensammlung wird. Die zuständigen Fachpersonen können einen neuen Bedarf prüfen und gegebenenfalls einen gesonderten zulässigen Umfang vereinbaren.
Löschung als tatsächlichen Betriebsprozess bestellen
Eine festgelegte Aufbewahrungsregel ist erst dann praktisch umgesetzt, wenn die beteiligten Systeme sie tatsächlich berücksichtigen. Lassen Sie erklären, wo Datenkopien entstehen und welche Ablagen in den Löschprozess einbezogen werden. Eine zentrale Anwendung kann einen Teil übernehmen, während exportierte Dateien oder Sicherungen andere Zuständigkeiten haben. Der Auftrag sollte diese Grenzen benennen, damit ein einzelner bestätigter Löschvorgang nicht als vollständiger Abschluss aller Kopien ausgegeben wird.
Das BSI verlangt einen festgelegten Löschprozess und einen Schutz gegen unkontrolliertes Löschen oder Verändern der Protokolldaten. Ihr Unternehmen sollte deshalb zwischen geplanter Löschung und einer unerwarteten Datenlücke unterscheiden können. Fragen Sie, welcher Nachweis für die vereinbarte Regel verfügbar ist und wer eine Auffälligkeit bearbeitet. Dafür brauchen Sie kein zusätzliches aufwendiges Kontrollsystem, sondern einen zur Umgebung passenden nachvollziehbaren Betriebsablauf.
Besprechen Sie gesondert, wie ein konkreter Untersuchungsanlass behandelt wird. Eine mögliche begrenzte Sicherung relevanter Daten ist rechtlich und fachlich zu klären und sollte nicht automatisch alle Löschregeln für sämtliche Quellen außer Kraft setzen. Benennen Sie die zuständigen Rollen und die notwendige Entscheidung. Nach Abschluss muss erkennbar sein, wie gesicherte Arbeitskopien weiter behandelt werden und wann die reguläre Regel wieder uneingeschränkt greift.
Einen kleinen aussagekräftigen Nachweis vereinbaren
Lassen Sie an geeigneten freigegebenen Testereignissen zeigen, dass die vereinbarten Quellen erfasst und richtig zugeordnet werden. Die Prüfung sollte auch erkennen lassen, welche Quelle bewusst nicht eingeschlossen ist. Ein erfolgreich empfangenes Einzelereignis bestätigt nicht jede Anbindung im Unternehmen. Ihr Auftrag braucht deshalb eine nachvollziehbare Aussage zum geprüften Umfang. Geeignete Testdaten vermeiden dabei die unnötige Nutzung vertraulicher Inhalte oder personenbezogener Originalvorgänge.
Prüfen Sie außerdem einen begrenzten Auskunftsweg. Kann die berechtigte Stelle ein bezeichnetes Ereignis wiederfinden, seine Herkunft erklären und einen passenden Auszug bereitstellen? Was geschieht, wenn die gesuchte Information nicht vorhanden ist? Ein ehrlicher Hinweis auf fehlende Daten ist für die spätere Bearbeitung besser als eine unvollständige Darstellung ohne Kennzeichnung. Die Abnahme sollte daher auch den verständlichen Umgang mit einer erkannten Lücke einschließen.
Zum Abschluss sollten die fachlich bestätigten Regeln und die tatsächlich eingerichteten Einstellungen zusammenpassen. Lassen Sie Abweichungen benennen und deren Bedeutung für die vorgesehenen Fragen erklären. Vielleicht ist eine Quelle noch nicht verfügbar oder ein externer Betreiber kann nur einen begrenzten Zeitraum bereitstellen. Ihr Unternehmen kann dann eine bewusste Entscheidung über den weiteren Aufwand treffen, anstatt eine offene Voraussetzung als stillschweigend erfüllt zu betrachten.
Bei einem Quellenwechsel die Aussage erhalten
Wird eine Anwendung ersetzt, sollte die Betreuung erklären, ob dieselbe betriebliche Frage mit den neuen Protokollen weiterhin beantwortet werden kann. Ähnliche Feldnamen bedeuten nicht automatisch denselben Inhalt. Lassen Sie den Übergang an einem vereinbarten Beispiel prüfen und halten Sie fest, ab welchem Stand die neue Quelle verwendet wird. Eine spätere Untersuchung kann dadurch zwischen Ereignissen aus beiden Betriebsvarianten unterscheiden.
Betrachten Sie zugleich die bisherigen Daten. Welche davon werden für den bestätigten Zweck noch benötigt und in welcher Form bleiben sie erreichbar? Der Wechsel eines Werkzeugs sollte weder eine unbegründete Daueraufbewahrung noch einen ungeklärten Verlust erforderlicher Informationen auslösen. Die zuständigen Fachpersonen können den begrenzten Übergang festlegen und anschließend bestätigen, welche alten Ablagen weiter gebraucht werden und welche regulär abgeschlossen werden.
Die spätere Pflege klein und verbindlich halten
Ein neues System oder ein anderer Dienstleister kann den Protokollierungsbedarf verändern. Legen Sie fest, wie solche Änderungen in die vorhandene Übersicht gelangen. Nicht jede Ergänzung erfordert ein vollständig neues Konzept. Eine gezielte Betrachtung der betroffenen Quelle und ihres Zwecks kann genügen. Entscheidend ist, dass die bisherige Sammlung nicht ungeprüft weiterläuft und wichtige neue Ereignisse nicht allein wegen einer veralteten Liste unberücksichtigt bleiben.
Vergleichen Sie Angebote anhand derselben bestätigten Quellen, der benötigten Verfügbarkeit und der enthaltenen Betreuung. Fragen Sie nach der Einrichtung zusätzlicher Quellen, nach Exportunterstützung und nach der Übergabe bei einem Anbieterwechsel. Ein umfangreich klingendes Speicherpaket hilft wenig, wenn Zuständigkeit und Löschung offenbleiben. Der passende Auftrag liefert eine nutzbare Antwort auf Ihre tatsächlichen Betriebsfragen und macht seine Grenzen für die verantwortlichen Personen sichtbar.
Ein Protokollierungskonzept anfragen
Nennen Sie in der Anfrage auf der Startseite Ihre wichtigsten Auswertungsfragen und die bereits betreuten Systeme in allgemeiner Form. Vollständige Originalprotokolle oder Zugangsdaten werden für den ersten Vergleich nicht benötigt. Welche Bestandsaufnahme und laufende Leistung sinnvoll sind, vereinbaren Sie anschließend mit dem jeweiligen Anbieter.