Protokolle helfen einem KMU nicht dadurch, dass möglichst viel gespeichert wird, sondern dadurch, dass die richtige Frage später eine Antwort hat. Wer hat sich an der Verwaltung angemeldet, wer hat eine Weiterleitung angelegt, ist die Sicherung gelaufen, und stimmt die Uhrzeit dieser Ereignisse überein. Alles darüber hinaus kann folgen, wenn ein konkreter Zweck da ist. Ein voller Speicher ohne diese Grundlagen ist nur ein teures Archiv aus Zufall.

Volle Speicher, die keine Frage beantworten

Im Ernstfall fehlt oft genau das Anmeldeprotokoll der Cloud oder der Hinweis, dass ein Konto eine Regel angelegt hat. Parallel laufen Geräteuhren auseinander, sodass sich Firewall und Mail nicht mehr in eine Reihenfolge bringen lassen. Wer dann erst die Protokollierung einschaltet, dokumentiert die Zukunft und nicht den Vorfall. Umgekehrt schicken manche Systeme jede Belanglosigkeit an eine Adresse, bis auch die wichtige Zeile untergeht. Beides ist kein Nachweis.

Für ein kleines Umfeld reichen wenige Quellen: Anmeldungen und Rollenänderungen in der Cloud und in der Domäne, Verwaltungszugriffe auf der Firewall, Ergebnisse der Sicherung, Einwahl von außen. Die Aufbewahrung dieser Protokolle ist zuerst eine technische Einstellung. Wie lange Sie personenbezogene Protokolle behalten dürfen oder müssen, legt Ihre Rechtsberatung fest. Wir setzen die Frist um, sobald sie feststeht, und speichern keine Kennwörter in den Protokollen.

Quellen, Uhrzeit und eine lesende Rolle

  1. Quellen. Beschränken Sie sich auf Anmeldung, Rollenänderung, Firewall-Verwaltung, externe Einwahl und Backup-Ergebnis.
  2. Uhr. Gleichen Sie die Uhrzeit der Geräte ab, sonst ist die Reihenfolge der Ereignisse eine Vermutung.
  3. Empfänger. Legen Sie Alarme auf eine Rolle, die an Werktagen gelesen wird, nicht auf eine einzelne Person im Urlaub.
  4. Frist. Übernehmen Sie die Aufbewahrung, die Ihre Beratung vorgibt, und löschen Sie nicht nach Gefühl.
  5. Probe. Suchen Sie bewusst eine eigene Verwaltungsanmeldung vom Vortag. Wenn sie fehlt, fehlt die Quelle.

Protokolle sind der Nachweis, dass die anderen Maßnahmen gelebt werden. Eine Firewall-Änderung ohne Eintrag und eine Sicherung ohne Ergebniszeile lassen sich im Nachhinein nicht ernsthaft rekonstruieren. Wir koppeln deshalb Aufräumen, Fernzugriff und Backup an dieselbe Frage: Wo steht das Ereignis, und wer sieht es unter der Woche.

Woran Projekte in der Praxis scheitern

  • Kennwörter oder ganze Mailinhalte in Protokolldateien schreiben, weil das beim Fehlersuchen bequem ist.
  • Die Uhrzeit von Firewall, Server und Cloud auseinanderlaufen lassen.
  • Alarme an ein persönliches Postfach schicken, das nach einem Austritt niemand öffnet.
  • Erst nach einem Vorfall mit der Protokollierung beginnen und den leeren Zeitraum als Nachweis behandeln.

Beispiel aus dem Betriebsalltag

Nach einer verdächtigen Weiterleitung in einem Handelsbetrieb ließ sich nicht sagen, wann das Konto angemeldet war. Die Cloud-Protokolle waren nie eingeschaltet worden, die Firewall-Uhr ging deutlich nach. Wir haben die Anmeldeprotokolle aktiviert, die Uhrzeit abgeglichen und die Alarmierung auf die Betreuung an Werktagen gelegt. Den bereits vergangenen Vorfall konnte das nicht nachholen. Der nächste lässt sich wenigstens einordnen.

Kurze Entscheidungshilfe

  • Können Sie eine Verwaltungsanmeldung vom letzten Werktag finden?
  • Gehen die Uhren der relevanten Geräte gleich?
  • Ist festgelegt, wer Alarme an Werktagen liest?
  • Hat Ihre Beratung die Aufbewahrung personenbezogener Protokolle vorgegeben, oder ist die Frist noch offen?

Wenn ein schlankes Sicherheitsprotokoll bei Ihnen ansteht, klären wir den Umfang unverbindlich: IT-Sicherheit. Fernzugriff von Lieferanten Alternativ direkt Kontakt aufnehmen oder die häufigen Fragen lesen.