Logdateien als digitale Spuren: Was sich daraus rekonstruieren lässt

Was Logdateien sind

Logdateien sind Protokolle, die Systeme und Anwendungen automatisch schreiben. Ein Eintrag enthält üblicherweise einen Zeitstempel, die Art des Ereignisses, beteiligte Konten oder Adressen und das Ergebnis. Fast jede Komponente führt solche Protokolle: Betriebssysteme, Server, Firewalls, VPN-Zugänge, Cloud-Dienste, Datenbanken und Anwendungen.

Ihre Aufgabe ist ursprünglich der Betrieb: Fehler finden, Leistung beobachten, Sicherheit überwachen. Für die Forensik sind sie eine Spurenquelle, die nicht eigens für Ermittlungen angelegt wurde. Das erklärt ihre Stärken und Grenzen.

Welche Arten von Spuren es gibt

Was sich rekonstruieren lässt

Zeitliche Abläufe. Aus den Zeitstempeln entsteht eine Abfolge: erst mehrere fehlgeschlagene Anmeldungen, dann eine erfolgreiche, dann eine Änderung an Postfachregeln.

Identitäten und Konten. Protokolle zeigen, welches Konto etwas getan hat. Das ist nicht dasselbe wie die Person dahinter, ein Konto kann geteilt, übernommen oder missbraucht worden sein.

Wege durch Systeme. Bewegungen von einem System zum nächsten, Zugriffe auf Freigaben und Verbindungen nach außen lassen sich nachzeichnen.

Umfang eines Vorfalls. Welche Systeme und Daten waren betroffen, welche nicht? Diese Eingrenzung unterstützt Entscheidungen über Maßnahmen und mögliche Meldungen.

Korrelation: Spuren zusammenführen

Aussagekraft entsteht meist erst im Zusammenspiel. Ein Beispiel (schematisch): Das Anmeldeprotokoll eines Cloud-Dienstes zeigt eine Anmeldung aus einem ungewöhnlichen Netz. Das Postfach-Audit zeigt wenige Minuten später eine neue Weiterleitungsregel. Die Buchhaltungssoftware verzeichnet am Folgetag eine geänderte Bankverbindung. Jeder Eintrag für sich ist erklärbar; gemeinsam ergeben sie ein auffälliges Muster.

Für die Zusammenführung werden die Ereignisse in einer gemeinsamen Zeitlinie angeordnet (Timeline-Analyse). Dabei müssen Zeitzonen, Formate und Genauigkeit angeglichen werden. Zentrale Systeme zur Sammlung (SIEM) erleichtern das, sofern die relevanten Quellen angebunden waren.

Grenzen der Aussagekraft

Diese Grenzen sind für die Bewertung eines Befunds wesentlich.

• Nicht alles wird protokolliert. Was nicht aufgezeichnet wurde, lässt sich später nicht nachlesen. Standardeinstellungen protokollieren oft nur wenig.
• Aufbewahrungsfristen. Protokolle werden nach einer Frist überschrieben oder gelöscht. Bei vielen Cloud-Diensten sind Fristen begrenzt und abhängig von Lizenz und Einstellung (Cloud-Forensik).
• Zeitangaben sind nicht immer verlässlich. Falsche Systemuhren, Zeitzonenfehler und Verzögerungen bei der Übertragung können Abfolgen verfälschen.
• Manipulation. Angreifer mit ausreichenden Rechten können Protokolle verändern oder löschen. Zentrale, manipulationsgeschützte Speicherung verringert dieses Risiko.
• Konto ist nicht gleich Person. Aus einem Eintrag lässt sich nicht ohne Weiteres auf eine bestimmte Person schließen.
• Adressen sind nicht eindeutig. IP-Adressen können gemeinsam genutzt, weitergeleitet oder verschleiert sein. Eine Zuordnung zu einer Person ist nur mit weiteren Informationen und rechtlicher Grundlage möglich.
• Fehlende Spuren sind kein Gegenbeweis. „Kein Eintrag“ kann bedeuten, dass nichts geschah, oder dass nichts aufgezeichnet wurde.

Wie sich die Aussagekraft verbessern lässt

Wer vorbereitet ist, kann im Ernstfall deutlich mehr belegen.

1. Relevante Quellen aktivieren: Anmelde- und Audit-Protokolle in Cloud-Diensten, erweiterte Protokollierung auf Servern und Firewalls.
2. Aufbewahrungsfristen festlegen: angemessen, unter Beachtung des Datenschutzes und der Erforderlichkeit.
3. Zeit synchronisieren: Alle Systeme beziehen die Uhrzeit aus einer verlässlichen Quelle.
4. Protokolle zentral und geschützt speichern: so, dass sie nicht gemeinsam mit einem kompromittierten System verloren gehen.
5. Zuständigkeiten klären: Wer darf Protokolle exportieren und wer entscheidet über die Sicherung? (Incident Response)

Datenschutz ist dabei kein Gegensatz, sondern eine Rahmenbedingung: Protokolle enthalten personenbezogene Daten, deren Erhebung, Zugriff und Aufbewahrung begründet und begrenzt sein sollen. Die Ausgestaltung ist rechtlich zu prüfen.

Typische Fehlannahmen

„Die Logs sagen, wer es war.“ Sie sagen, welches Konto oder welche Adresse beteiligt war. Die Zuordnung zu einer Person erfordert mehr.

„Wir haben Logs, also können wir alles klären.“ Entscheidend sind Vollständigkeit, Zeitraum und Verlässlichkeit.

„Nach dem Vorfall schauen wir einfach nach.“ Bis dahin können Protokolle überschrieben sein. Zeitnahe Sicherung ist wichtig.

Fragen, die Protokolle beantworten können, und Fragen, die sie nicht beantworten

Protokolle eignen sich gut für Fragen nach Zeitpunkten, Abläufen und beteiligten Konten: Wann hat sich ein Konto angemeldet? Wurde ein Postfach durchsucht oder exportiert? Welche Verbindung bestand zu einem externen Ziel? Weniger eindeutig sind Fragen nach Absicht, Person und Inhalt. Ein Protokoll zeigt, dass eine Datei geöffnet wurde, aber nicht, ob sie gelesen, verstanden oder weitergegeben wurde. Es zeigt, dass ein Konto aktiv war, aber nicht, wer an der Tastatur saß. Auch die Ursache eines Ereignisses lässt sich häufig nur vermuten: Zeitliche Nähe ist ein Hinweis, aber kein Beleg für einen Zusammenhang.

Ein hilfreicher Umgang ist, jede Aussage in einem Befund einer von drei Stufen zuzuordnen: belegt durch eine Quelle, wahrscheinlich aufgrund mehrerer Indizien, oder offen. So bleibt für Leser nachvollziehbar, worauf eine Schlussfolgerung beruht.

Ein Blick auf typische Quellen in kleineren Organisationen

Auch kleinere Unternehmen verfügen über mehr Protokolle, als ihnen bewusst ist: Firewall und Router, Fileserver, der E-Mail-Dienst, Cloud-Anmeldungen, VPN-Zugänge und Fachanwendungen. Oft sind die Standardeinstellungen jedoch knapp bemessen, und die Aufbewahrung ist kurz. Ein sinnvoller erster Schritt ist eine Bestandsaufnahme: Welche Systeme protokollieren was, wie lange, und wer kann auf die Daten zugreifen? Schon diese Übersicht verbessert die Aufklärbarkeit im Ernstfall erheblich und kostet nur wenig Aufwand.

Einordnung

Dieser Beitrag beschreibt allgemein, was Protokolle leisten und wo ihre Grenzen liegen. Er bewertet keinen Einzelfall. Ob und wie Protokolle ausgewertet werden dürfen, insbesondere wenn Beschäftigtendaten betroffen sind, ist rechtlich zu klären.