Log-Analyse: Angriffe in Protokolldaten erkennen

Technik und Systeme4 Min. Lesezeit

Lernen Sie, wie Sie durch Log-Analyse Angriffe in Protokolldaten frühzeitig erkennen. Ein Leitfaden für KMU mit praktischen Schritten nach BSI IT-Grundschutz.

Kurz für ChefsGenauer für IT

Ihre IT-Systeme wie Server, Firewalls und Cloud-Dienste schreiben ständig Protokolle (Logs) über alle Aktivitäten – zum Beispiel, wer sich anmeldet oder welche Daten abgerufen werden. Eine systematische Log-Analyse: Angriffe in Protokolldaten erkennen bedeutet, diese Aufzeichnungen gezielt auszuwerten, um verdächtige Muster zu finden, bevor ein größerer Schaden entsteht.

Nutzen

Durch die Analyse von Protokolldaten können Sie Cyberangriffe in einem frühen Stadium identifizieren, etwa wenn ein Angreifer versucht, Passwörter zu erraten oder sich mit gestohlenen Zugangsdaten anmeldet. Im Falle eines Sicherheitsvorfalls sind diese Protokolle unerlässlich, um den Hergang nachzuvollziehen, den Schaden zu bewerten und gesetzliche Meldepflichten zu erfüllen. Zudem erkennen Sie technische Probleme, wie eine seit Wochen fehlerhafte Datensicherung, bevor es zur Katastrophe kommt.

Risiko

Ohne Log-Analyse bleiben Angreifer oft monatelang unbemerkt in Ihrem Netzwerk. Sie können ungestört Daten ausspähen oder einen Ransomware-Angriff vorbereiten. Nach einem Vorfall tappen Sie im Dunkeln: Sie wissen nicht, welche Systeme betroffen sind, welche Daten gestohlen wurden und wie die Angreifer eingedrungen sind. Eine Aufklärung und ein sicherer Wiederanlauf sind dann kaum möglich.

Nächster Schritt

Legen Sie fest, welche grundlegenden Ereignisse (z. B. Anmeldungen an Servern, Fehler bei der Datensicherung) protokolliert werden müssen. Bestimmen Sie eine verantwortliche Person, die kritische Alarmmeldungen erhält und prüft. Sprechen Sie mit Ihrem IT-Verantwortlichen oder Dienstleister darüber, wie eine zentrale Sammlung und einfache automatische Auswertung der wichtigsten Protokolle umgesetzt werden kann.

Die reine Protokollierung von Ereignissen auf IT-Systemen reicht nicht aus, um die Informationssicherheit zu gewährleisten. Erst die systematische Auswertung dieser Daten ermöglicht es, Sicherheitsvorfälle frühzeitig zu erkennen und darauf zu reagieren. Dieser Prozess, auch Monitoring oder Detektion genannt, ist ein zentraler Bestandteil eines jeden Sicherheitskonzepts und wird vom BSI IT-Grundschutz in mehreren Bausteinen gefordert.

Grundlage: Was wird protokolliert?

Bevor Sie Protokolle analysieren können, müssen Sie sicherstellen, dass die richtigen Informationen überhaupt erfasst werden. Der Baustein OPS.1.1.5 «Protokollierung» (Edition 2023) bildet hierfür die Basis. Für eine effektive Analyse sollten Sie mindestens die folgenden Ereignisse aufzeichnen:

Anmeldungen: Erfolgreiche und fehlgeschlagene Anmeldeversuche an zentralen Systemen wie Domänencontrollern, Servern, VPN-Zugängen, Firewalls und wichtigen Cloud-Diensten.
Konten- und Rechteverwaltung: Erstellung neuer Benutzerkonten, Änderungen an privilegierten Gruppen (z. B. Administratoren), Passwort-Zurücksetzungen.
Systemänderungen: Installation neuer Software, Erstellung geplanter Tasks, Deaktivierung von Sicherheitsfunktionen (Virenschutz, Firewall, Protokollierung selbst).
Firewall-Aktivitäten: Blockierte und zugelassene Verbindungen an Netzwerkgrenzen, insbesondere zu kritischen Systemen.
Sicherheitssoftware: Meldungen von Antiviren-Programmen oder Endpoint-Detection-and-Response-Lösungen (EDR).
Datensicherung: Erfolgreich abgeschlossene, fehlgeschlagene oder abgebrochene Backup-Jobs.

Stellen Sie sicher, dass die Systemzeit aller protokollierenden Komponenten synchronisiert ist, beispielsweise über einen zentralen NTP-Server (siehe Baustein OPS.1.2.6 «NTP-Zeitsynchronisation», Edition 2023). Nur so lassen sich Ereignisse über Systemgrenzen hinweg in eine korrekte zeitliche Abfolge bringen.

Zentrale Sammlung: Daten schützen und verfügbar machen

Protokolldaten, die nur auf dem jeweiligen System gespeichert sind, können von einem Angreifer mit Administratorrechten manipuliert oder gelöscht werden, um seine Spuren zu verwischen. Daher ist eine zentrale Sammlung der Protokolle auf einem separaten, gehärteten System unerlässlich. Dies erleichtert zudem die übergreifende Auswertung.

Für kleine und mittlere Unternehmen eignen sich folgende Ansätze:

Windows-Ereignisweiterleitung (WEF): Eine in Windows Server integrierte Funktion, um Ereignisprotokolle von Clients und Servern an einen zentralen Sammel-Server zu senden.
Syslog-Server: Ein etablierter Standard, um Protokolle von Netzwerkgeräten wie Firewalls, Switches und Linux-Systemen zu sammeln.
SIEM-System (Security Information and Event Management): Eine umfassende Lösung, die Daten sammelt, normalisiert, korreliert und alarmiert. Für KMU sind oft von Dienstleistern betriebene Managed SIEM oder Open-Source-Lösungen ein gangbarer Weg.

Der BSI-Baustein DER.1.A11 (Edition 2023) empfiehlt die Nutzung einer zentralen Protokollierungsinfrastruktur. Laut OPS.1.1.5.A9 (Edition 2023) sollten die Daten dort gefiltert, normalisiert und für die Auswertung bereitgestellt werden.

Die Praxis der Log-Analyse: Angriffe in Protokolldaten erkennen

Die eigentliche Analyse wandelt die gesammelten Daten in verwertbare Informationen um. Hierbei geht es darum, Muster zu erkennen, die auf einen Angriff oder eine Fehlfunktion hindeuten. Dies wird im Baustein DER.1 «Detektion von sicherheitsrelevanten Ereignissen» (Edition 2023) beschrieben. Anstatt Protokolle manuell zu durchsuchen, definieren Sie Regeln, die bei bestimmten Ereignissen automatisch einen Alarm auslösen.

Beispiele für wirksame Alarmierungsregeln:

Brute-Force-Angriff: Eine hohe Anzahl fehlgeschlagener Anmeldungen für ein einzelnes Konto oder von einer einzelnen IP-Adresse in kurzer Zeit.
Kompromittiertes Konto: Eine erfolgreiche Anmeldung eines Administrators außerhalb der Geschäftszeiten, von einem untypischen geografischen Standort oder nach vorangegangenen Fehlversuchen.
Rechteausweitung (Privilege Escalation): Ein neues Konto wird einer Administrator-Gruppe hinzugefügt.
Verteidigungsmechanismen umgangen: Die Protokollierung wird auf einem kritischen Server gestoppt oder das Ereignisprotokoll wird gelöscht.
Fehlfunktion: Eine Datensicherung schlägt mehrfach hintereinander fehl.

Prozesse und Verantwortlichkeiten schaffen

Technik allein genügt nicht. Es müssen klare Prozesse etabliert werden. Die Anforderung DER.1.A3 (Edition 2023) fordert die Festlegung von Meldewegen. Definieren Sie, wer bei einem Alarm informiert wird und welche Schritte dann zu befolgen sind. Diese Handlungsanweisungen können in einem Incident-Response-Playbook dokumentiert werden.

Alle Mitarbeitenden müssen zudem dafür sensibilisiert werden, verdächtige Ereignisse oder Meldungen ihrer Systeme umgehend an die zuständige Stelle zu melden (DER.1.A4, Edition 2023). Um eine „Alarm-Müdigkeit“ zu vermeiden, sollten die Regeln so kalibriert werden, dass nur relevante, handlungsbedürftige Alarme erzeugt werden.

Datenschutz und Mitbestimmung berücksichtigen

Protokolldaten enthalten in der Regel personenbezogene oder personenbeziehbare Daten von Mitarbeitenden. Ihre Erhebung und Auswertung muss daher im Einklang mit der Datenschutz-Grundverordnung (DSGVO) stehen. Definieren und dokumentieren Sie den Zweck der Verarbeitung (z. B. Gewährleistung der Netz- und Informationssicherheit), die Speicherfristen und die zugriffsberechtigten Personen.

In Unternehmen mit Betriebsrat unterliegt die Einführung von Systemen zur Protokollierung und Auswertung der Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG, da sie objektiv geeignet sind, das Verhalten oder die Leistung von Mitarbeitenden zu überwachen. Eine Betriebsvereinbarung schafft hier rechtliche Klarheit für alle Beteiligten.

Häufige Fragen

Was ist der Unterschied zwischen Protokollierung und Log-Analyse?

Protokollierung (Logging) ist der rein technische Prozess, bei dem IT-Systeme Ereignisse aufzeichnen und speichern. Log-Analyse (auch Monitoring oder Detektion) ist der nachgelagerte Schritt, bei dem diese Aufzeichnungen aktiv und systematisch ausgewertet werden, um sicherheitsrelevante Vorfälle oder Probleme zu erkennen.

Benötigen wir als kleines Unternehmen ein teures SIEM-System?

Nicht zwingend. Sie können mit Bordmitteln wie der Windows-Ereignisweiterleitung oder einem einfachen Syslog-Server beginnen, um Protokolle zentral zu sammeln. Wichtiger als ein komplexes Werkzeug ist es, klare Regeln für die wichtigsten Bedrohungen zu definieren und die Verantwortung für die Bearbeitung von Alarmen festzulegen. Alternativ bieten viele IT-Dienstleister SIEM als Managed Service an.

Welche Protokolle sind für den Anfang am wichtigsten?

Konzentrieren Sie sich auf die „Kronjuwelen“ und die Zugänge dorthin. Ein guter Startpunkt ist die Überwachung von fehlgeschlagenen und erfolgreichen administrativen Anmeldungen, Änderungen an administrativen Gruppen (z. B. Domänen-Admins) und dem Status Ihrer Datensicherung.

Wie lange müssen wir Protokolldaten aufbewahren?

Es gibt keine pauschale gesetzliche Frist für alle Arten von Protokolldaten. Die Aufbewahrungsdauer hängt vom Zweck und den rechtlichen Rahmenbedingungen (z. B. DSGVO, branchenspezifische Vorgaben) ab. Ein typischer Zeitraum für sicherheitsrelevante Protokolle liegt zwischen 90 Tagen und einem Jahr. Wichtig ist, eine Frist festzulegen und die Daten danach datenschutzkonform zu löschen.