Protokollierung und Monitoring
Protokollierung und Monitoring im Betrieb: welche Ereignisse Sie aufzeichnen, wie Sie sie auswerten und was die BSI-Bausteine OPS.1.1.5 und DER.1 verlangen.
Protokollierung bedeutet, dass Ihre IT-Systeme aufzeichnen, was auf ihnen passiert: wer sich wann angemeldet hat, welche Einstellungen geändert wurden, ob die Datensicherung geklappt hat. Monitoring heißt, diese Aufzeichnungen und den Zustand der Systeme laufend im Blick zu behalten, damit Probleme auffallen, bevor sie zum Ausfall werden.
Warum das Ihren Betrieb betrifft
Viele Angriffe bleiben lange unbemerkt. Angreifer melden sich mit gestohlenen Zugangsdaten an, sehen sich um und schlagen erst später zu. Ohne Protokolle lässt sich hinterher kaum klären, was passiert ist, welche Daten betroffen sind und ob eine Meldepflicht besteht. Und ohne Überwachung fällt oft erst im Notfall auf, dass die Datensicherung seit Wochen nicht mehr läuft.
Was sinnvoll ist
- Anmeldungen, Rechteänderungen und Fehler auf Servern, Firewall und Cloud-Diensten aufzeichnen.
- Die Uhrzeit aller Systeme synchron halten, damit sich Ereignisse zuordnen lassen.
- Wenige, klare Alarme festlegen, etwa für gescheiterte Sicherungen oder auffällige Anmeldungen.
- Festlegen, wer Meldungen bekommt und was dann zu tun ist.
Bei Protokollen über Mitarbeitende spielen Datenschutz und gegebenenfalls der Betriebsrat eine Rolle. Das gehört von Anfang an in die Planung.
Der nächste Schritt
Fragen Sie Ihren IT-Dienstleister, wer heute eine Nachricht bekommt, wenn die Datensicherung fehlschlägt oder sich jemand ungewöhnlich oft falsch anmeldet. Bleibt die Antwort unklar, ist das ein guter Ansatzpunkt.
Protokollierung im IT-Grundschutz
Zwei Bausteine greifen ineinander: OPS.1.1.5 «Protokollierung» regelt, was aufgezeichnet und wie es aufbewahrt wird. DER.1 «Detektion von sicherheitsrelevanten Ereignissen» regelt, wie Auffälligkeiten erkannt und gemeldet werden.
Basis-Anforderungen OPS.1.1.5
- Sicherheitsrichtlinie für die Protokollierung (A1): was wo protokolliert wird, wie lange es aufbewahrt wird und wer Zugriff hat.
- Konfiguration auf System- und Netzebene (A3): Alle sicherheitsrelevanten Ereignisse von IT-Systemen und Anwendungen müssen protokolliert werden. Vorhandene Protokollierungsfunktionen sind zu nutzen, Herstellervorgaben zu beachten. In definierten Intervallen wird stichprobenartig geprüft, ob die Protokollierung noch funktioniert. Wo ein System selbst nicht protokollieren kann, werden zusätzliche Systeme, etwa auf Netzebene, eingebunden.
- Zeitsynchronisation (A4): Die Systemzeit aller protokollierenden Systeme muss synchron sein.
- Einhaltung rechtlicher Rahmenbedingungen (A5): insbesondere Datenschutz.
Standard-Anforderungen sind eine zentrale Protokollierungsinfrastruktur, Archivierung, Bereitstellung der Daten für die Auswertung und Zugriffsschutz.
Basis-Anforderungen DER.1
DER.1 verlangt unter anderem eine Sicherheitsrichtlinie für die Detektion, die Einhaltung rechtlicher Bedingungen bei der Auswertung, festgelegte Meldewege für sicherheitsrelevante Ereignisse, die Sensibilisierung der Mitarbeitenden, den Einsatz mitgelieferter Systemfunktionen zur Detektion und eine kontinuierliche Überwachung und Auswertung von Protokollierungsdaten.
Welche Protokollierung sinnvoll ist
Mindestumfang für kleine Netze
- Anmeldungen: erfolgreiche und fehlgeschlagene Anmeldungen an Servern, Domänencontrollern, VPN, Firewall-Verwaltung und Cloud-Diensten.
- Konten und Rechte: neue Konten, Änderungen an Administratorgruppen, Passwortrücksetzungen.
- Systemänderungen: neue Dienste, geplante Aufgaben, geänderte Sicherheitseinstellungen, Abschalten von Virenschutz oder Protokollierung.
- Firewall: abgelehnte und erlaubte Verbindungen an Netzübergängen, VPN-Anmeldungen.
- Schutzsoftware: Meldungen des Virenschutzes oder der Endpoint-Lösung.
- Datensicherung: Erfolg, Fehler, Abbruch.
Unter Windows ist die erweiterte Überwachungsrichtlinie maßgeblich. Viele relevante Ereignisse werden in der Standardeinstellung nicht oder nur teilweise aufgezeichnet und müssen per Gruppenrichtlinie aktiviert werden. Auch die Größe der Ereignisprotokolle ist oft zu klein, sodass ältere Einträge schnell überschrieben werden.
Zeit
Ohne einheitliche Zeit lassen sich Ereignisse verschiedener Systeme nicht zusammenführen. Alle Systeme sollten ihre Zeit von einer zuverlässigen Quelle beziehen, in Windows-Domänen typischerweise über die Domänencontroller. Der Baustein OPS.1.2.6 «NTP-Zeitsynchronisation» enthält dazu weitere Anforderungen.
Zentral sammeln
Protokolle, die nur auf dem betroffenen System liegen, kann ein Angreifer mit Administratorrechten löschen. Eine zentrale Sammlung auf einem getrennten System schützt davor und erleichtert die Auswertung. Für kleine Umgebungen gibt es dafür mehrere Wege: die Weiterleitung von Windows-Ereignissen an einen Sammelserver, einen Syslog-Server für Firewall und Netzkomponenten, ein Monitoring-System mit Protokollfunktion oder einen Dienst eines IT-Dienstleisters. Ein vollwertiges SIEM (Security Information and Event Management) ist für viele kleine Betriebe zu aufwendig, es sei denn, ein Dienstleister betreibt es als Service.
Auswerten statt nur sammeln
Gesammelte Protokolle ohne Auswertung sind vor allem für die Aufarbeitung nach einem Vorfall nützlich. Um Angriffe früh zu erkennen, braucht es Regeln, die bei bestimmten Mustern alarmieren. Beispiele für einfache, wirksame Alarme:
- Viele fehlgeschlagene Anmeldungen an einem Konto oder von einer Adresse.
- Erfolgreiche Anmeldung eines Administratorkontos außerhalb der üblichen Zeiten oder aus dem Ausland.
- Neues Mitglied in einer Administratorgruppe.
- Gelöschte Ereignisprotokolle.
- Gescheiterte Datensicherung oder deutlich veränderte Datenmenge.
Wichtig ist, dass jeder Alarm einen Empfänger und eine klare nächste Aktion hat. Zu viele Alarme führen dazu, dass niemand mehr hinsieht.
Monitoring des Betriebs
Neben Sicherheitsereignissen gehört die Verfügbarkeit dazu: Speicherplatz, Dienste, Temperatur im Serverraum, Ablauf von Zertifikaten und Lizenzen, Erreichbarkeit der Internetverbindung. Ein einfaches Monitoring-Werkzeug, das bei Grenzwerten eine Nachricht schickt, verhindert viele vermeidbare Ausfälle.
Datenschutz und Mitbestimmung
Protokolle enthalten fast immer personenbezogene Daten. Legen Sie Zweck, Umfang, Aufbewahrungsdauer und Zugriffsberechtigte fest und dokumentieren Sie das. Die Auswertung sollte sich auf Sicherheitszwecke beschränken. Gibt es einen Betriebsrat, ist die Einführung technischer Einrichtungen, die zur Überwachung von Verhalten oder Leistung geeignet sind, nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig; eine Betriebsvereinbarung schafft hier Klarheit.
Ein Beispiel
Ein Steuerbüro mit acht Arbeitsplätzen sammelt die Ereignisse seines Domänencontrollers, des Dateiservers und der Firewall auf einem kleinen, getrennten Sammelsystem. Microsoft-365-Anmeldungen kommen aus dem Prüfprotokoll des Mandanten. Der IT-Dienstleister hat fünf Alarme eingerichtet: viele Fehlanmeldungen, neue Administratoren, gelöschte Protokolle, fehlgeschlagene Sicherung und volle Datenträger. Die Alarme gehen an den Dienstleister und in Kopie an die Büroleitung. Einmal im Quartal prüfen beide gemeinsam, ob die Alarme funktionieren und ob neue Systeme ergänzt werden müssen. Das ist kein Sicherheitsleitstand, deckt aber die häufigsten Warnzeichen ab.
Aufbewahrung
Eine einheitliche Frist gibt der IT-Grundschutz nicht vor. Sie ergibt sich aus Zweck, rechtlichen Vorgaben und praktischer Erfahrung: Angriffe werden oft erst nach Wochen bemerkt, daher sollten sicherheitsrelevante Protokolle nicht nach wenigen Tagen überschrieben werden. Legen Sie die Frist begründet in der Protokollierungsrichtlinie fest und schützen Sie die Daten vor Veränderung.
Häufige Fragen
Was ist der Unterschied zwischen Protokollierung und Monitoring?
Protokollierung zeichnet Ereignisse auf, etwa Anmeldungen oder Änderungen. Monitoring überwacht laufend den Zustand von Systemen und Diensten und meldet Abweichungen. Beides ergänzt sich: Monitoring nutzt oft Protokolle als Datenquelle.
Wie lange müssen Protokolle aufbewahrt werden?
Der IT-Grundschutz nennt keine einheitliche Frist. Sie wird in der Protokollierungsrichtlinie nach Zweck, Datenschutz und rechtlichen Vorgaben festgelegt. Für Sicherheitszwecke sollten Protokolle lange genug vorliegen, um auch spät entdeckte Vorfälle nachvollziehen zu können.
Braucht ein kleiner Betrieb ein SIEM?
Meist nicht als eigenes System. Wichtiger sind eine zentrale Sammlung der wichtigsten Protokolle, wenige klare Alarme und ein Verantwortlicher, der reagiert. Ein SIEM kann als Dienstleistung sinnvoll sein, wenn der Schutzbedarf hoch ist.