Leitfaden für DSGVO-sichere IT-Protokolle

Ein Leitfaden für DSGVO-sichere Protokolle beginnt nicht mit einer Speicherfrist, sondern mit einer unbequemen Frage: Würde Ihr Unternehmen nach einem Sicherheitsvorfall nachvollziehen können, wer wann worauf zugegriffen hat? Fehlen diese Informationen, bleiben Einbrüche, Fehlkonfigurationen und unberechtigte Zugriffe oft zu lange unentdeckt. Werden dagegen sämtliche Daten ohne Konzept gesammelt, entsteht ein neues Datenschutz- und Haftungsrisiko.

Für mittelständische Unternehmen sind Protokolle deshalb kein reines IT-Detail. Sie liefern die Grundlage, um Systeme verlässlich zu betreiben, Vorfälle aufzuklären und gegenüber Kunden, Behörden oder Versicherern handlungsfähig zu bleiben. Entscheidend ist ein dokumentiertes Konzept, das Sicherheitsbedarf und Datenminimierung sauber zusammenbringt.

Warum Protokolle zugleich schützen und personenbezogen sein können

Protokolldaten dokumentieren technische Ereignisse: erfolgreiche und fehlgeschlagene Anmeldungen, Zugriffe auf Dateien, Änderungen an Benutzerrechten, Firewall-Verbindungen, Backup-Jobs oder administrative Eingriffe. Sobald sich ein Ereignis einer Person zuordnen lässt – etwa über Benutzername, IP-Adresse, Gerätekennung oder Zeitstempel – handelt es sich in der Regel um personenbezogene Daten.

Damit gelten die Grundsätze aus Artikel 5 DSGVO. Die Verarbeitung braucht einen klaren Zweck, muss auf das erforderliche Maß begrenzt sein und darf nicht länger als nötig erfolgen. Zugleich verpflichtet Artikel 32 DSGVO Unternehmen zu angemessenen technischen und organisatorischen Maßnahmen. Ohne aussagekräftige Protokolle lässt sich ein Sicherheitsvorfall häufig weder erkennen noch bewerten.

Dieses Spannungsfeld ist kein Argument gegen Logging. Es ist ein Argument gegen unkontrolliertes Logging. Ein sinnvoller Ansatz dokumentiert sicherheitsrelevante Vorgänge gezielt, schützt die Protokolle selbst und löscht sie nach nachvollziehbaren Regeln.

Das Bundesamt für Sicherheit in der Informationstechnik weist in seinem Lagebericht zur IT-Sicherheit in Deutschland 2024 auf weiterhin hohe Bedrohungslagen hin. Im Durchschnitt wurden täglich rund 309.000 neue Schadprogramm-Varianten bekannt. Gerade bei Ransomware oder kompromittierten Benutzerkonten entscheidet die Qualität der Ereignisdaten darüber, ob ein Unternehmen den Angriff eingrenzen kann oder nur noch reagieren muss.

Leitfaden für DSGVO-sichere Protokolle: Die sechs Entscheidungen

1. Den Zweck vor der Technik festlegen

Definieren Sie für jede Protokollquelle, warum Daten erhoben werden. Typische Zwecke sind die Erkennung von Angriffen, die Analyse von Störungen, der Nachweis administrativer Änderungen und die Wiederherstellung nach einem Ausfall. Allgemeine Formulierungen wie „zur Optimierung“ reichen nicht aus, wenn tatsächlich eine dauerhafte Verhaltenskontrolle möglich wäre.

Diese Zweckdefinition gehört in ein Logging-Konzept und in das Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30 DSGVO. Für Beschäftigtendaten ist zusätzlich § 26 BDSG relevant. Protokolle dürfen nicht stillschweigend zur Leistungs- oder Verhaltenskontrolle genutzt werden. Besteht ein Betriebsrat, sind Mitbestimmungsrechte frühzeitig zu prüfen.

2. Nur Ereignisse mit Sicherheitswert erfassen

Nicht jedes technische Detail hilft im Ernstfall. Besonders relevant sind An- und Abmeldungen, fehlgeschlagene Login-Versuche, Änderungen an privilegierten Konten, Zugriffe auf besonders schützenswerte Daten, Konfigurationsänderungen an Firewall und Servern sowie Auffälligkeiten bei Backup und Endpoint Protection.

Bei Web- oder Proxy-Protokollen ist Zurückhaltung besonders wichtig. Vollständige URL-Aufrufe, Inhalte von Anfragen oder umfangreiche Nutzungsprofile sind oft nicht erforderlich, um Angriffe zu erkennen. Häufig genügen Zielsystem, Kategorie, Zeit, technische Ursache und eine pseudonymisierte Kennung. Ob eine IP-Adresse direkt gespeichert werden muss, hängt vom konkreten Sicherheitsziel und von der gewählten Auswertung ab.

3. Speicherfristen nach Risiko statt nach Gewohnheit bestimmen

„Wir behalten alles für immer“ ist keine Sicherheitsstrategie. Ebenso problematisch sind Fristen von wenigen Tagen, wenn Angriffe erst Wochen später auffallen. Die European Union Agency for Cybersecurity, ENISA, beschreibt Ransomware weiterhin als eine der prägenden Bedrohungen. Angreifer bewegen sich oft zunächst unbemerkt im Netzwerk, bevor sie Daten verschlüsseln oder abziehen.

Eine praktikable Staffelung kann so aussehen: Operative Systemlogs werden beispielsweise 30 bis 90 Tage vollständig vorgehalten. Sicherheitsrelevante Warnungen, administrative Änderungen und zentrale Authentifizierungsereignisse können aufgrund ihres höheren Aufklärungswerts länger gespeichert werden. Die konkrete Frist muss zum Risiko, zur Erkennungsfähigkeit und zu vertraglichen oder gesetzlichen Anforderungen passen. Wichtig ist nicht eine pauschale Zahl, sondern die schriftliche Begründung und die technisch kontrollierte Löschung.

4. Protokolle gegen Manipulation absichern

Ein Angreifer mit Administratorrechten versucht häufig, Spuren zu löschen. Lokal gespeicherte Logs allein sind daher kein belastbarer Nachweis. Senden Sie Ereignisse zeitnah an eine zentrale, getrennt abgesicherte Protokollplattform. Zugriffe darauf sollten rollenbasiert erfolgen und besonders privilegierte Konten mit Mehrfaktor-Authentifizierung geschützt werden.

Ergänzend helfen manipulationsgeschützte Speicherverfahren, nachvollziehbare Zeitquellen und eine Trennung von Administration und Auswertung. Wer Server betreut, sollte nicht ohne Kontrolle auch die eigenen Tätigkeitsprotokolle löschen können. Diese Trennung ist im Mittelstand nicht immer personell vollständig möglich. Dann müssen technische Kontrollen und regelmäßige Prüfungen den fehlenden Vier-Augen-Prozess ausgleichen.

5. Zugriffe, Auswertungen und Dienstleister dokumentieren

Protokolldaten enthalten oft mehr Informationen über die interne IT als viele andere Datenquellen. Daher darf nicht jeder Administrator uneingeschränkten Zugriff erhalten. Legen Sie fest, welche Rollen Ereignisse sehen, durchsuchen, exportieren oder löschen dürfen. Jeder administrative Zugriff auf die Logging-Plattform sollte wiederum protokolliert werden.

Setzen externe IT-Dienstleister oder Managed-Security-Anbieter die Systeme ein oder werten sie aus, ist eine Auftragsverarbeitung nach Artikel 28 DSGVO zu prüfen. Entscheidend sind dabei nicht nur Vertragsmuster. Unternehmen sollten wissen, wo die Daten verarbeitet werden, welche Unterauftragnehmer Zugriff erhalten und wie Zugriffe aus dem Support abgesichert und nachvollziehbar sind. Deutsche oder europäische Verarbeitung kann die Kontrolle erleichtern, ersetzt aber keine Prüfung der tatsächlichen technischen und organisatorischen Maßnahmen.

6. Aus Protokollen einen funktionierenden Alarmprozess machen

Protokolle, die niemand prüft, schützen nicht. Ein sinnvoller Betrieb verbindet zentrale Erfassung mit priorisierten Alarmen und klaren Zuständigkeiten. Ein fehlgeschlagener Login ist normal. Hunderte Fehlversuche gegen ein privilegiertes Konto, eine Anmeldung aus einem ungewöhnlichen Kontext oder das Abschalten eines Backup-Jobs sind dagegen Ereignisse, die zeitnah bewertet werden müssen.

Dokumentieren Sie deshalb einen Ablauf: Wer erhält einen Alarm? Wer bewertet ihn? Wer darf Systeme isolieren oder Konten sperren? Wie werden Geschäftsführung, Datenschutzbeauftragte und gegebenenfalls Kunden informiert? Bei einer meldepflichtigen Verletzung des Schutzes personenbezogener Daten verlangt Artikel 33 DSGVO grundsätzlich eine Meldung an die Aufsichtsbehörde binnen 72 Stunden nach Bekanntwerden. Gute Protokolle verschaffen in diesem Zeitfenster Fakten statt Vermutungen.

Praxisfall: Der stille Ausfall eines Backups

In einer anonymisierten Sicherheitsanalyse eines mittelständischen Unternehmens mit rund 80 Arbeitsplätzen zeigte sich ein typisches Risiko. Die Backup-Software meldete seit 19 Tagen fehlgeschlagene Sicherungen für einen zentralen Dateiserver. Die Warnungen lagen nur lokal auf dem Backup-System, ein zentrales Monitoring gab es nicht. Gleichzeitig besaßen fünf frühere oder fachfremde Benutzerkonten noch weitreichende Berechtigungen.

Der Fall war kein Cyberangriff. Gerade deshalb ist er lehrreich: Ein Hardwaredefekt oder eine Verschlüsselungstrojaner-Infektion hätte zu einem erheblichen Datenverlust geführt, obwohl formal eine Backup-Lösung vorhanden war. Nach der Analyse wurden Backup-Ereignisse, Änderungen an Berechtigungen und administrative Anmeldungen zentral erfasst. Alarmregeln informierten bei fehlgeschlagenen Sicherungen sofort die verantwortliche Stelle. Nicht benötigte Konten wurden deaktiviert, und die Aufbewahrungsfristen der Protokolle schriftlich festgelegt.

Der Nutzen lag nicht in einer möglichst großen Datenmenge. Er lag in einer überprüfbaren Kette aus Erkennung, Zuständigkeit und Reaktion.

Typische Fehler, die bei Audits und Vorfällen sichtbar werden

Häufig fehlt zunächst die Übersicht: Firewall, Microsoft-365-Umgebung, Server, Endgeräte und Backup-Systeme erzeugen Daten, aber niemand weiß, welche davon zentral ankommen. Der zweite Fehler sind zu weit gefasste Zugriffsrechte. Wenn ein kompromittiertes Administratorkonto zugleich Systeme und Logs verändern kann, wird die Ursachenanalyse erheblich erschwert.

Ebenso kritisch sind starre Speicherfristen ohne Risikobewertung. Eine Frist kann angemessen sein, wenn sie im Kontext der Erkennungs- und Reaktionszeiten begründet wurde. Sie wird problematisch, wenn sie nur übernommen wurde, weil sie irgendwann einmal eingestellt war. Schließlich wird oft übersehen, dass Protokolldaten selbst geschützt, gesichert und getestet werden müssen. Ein SIEM oder Logserver ohne Backup, Zugriffskonzept und Wiederherstellungstest bleibt eine einzelne Fehlerquelle.

So starten Sie ohne Großprojekt

Beginnen Sie mit den Systemen, deren Ausfall oder Missbrauch den Geschäftsbetrieb unmittelbar trifft: Identitätsverwaltung, Firewall, Server, Endpoints, E-Mail und Backup. Prüfen Sie je System, welche Ereignisse erfasst werden, wo sie landen, wer sie lesen kann und wie lange sie verfügbar bleiben. Daraus entsteht eine belastbare Prioritätenliste.

Für viele Mittelständler ist ein betreutes Monitoring sinnvoller als eine komplexe Plattform, die nach der Einführung unbeachtet bleibt. Entscheidend bleibt die Transparenz: Die Geschäftsführung sollte nachvollziehen können, welche Daten verarbeitet werden, wer Verantwortung trägt und wie ein Alarm im Ernstfall behandelt wird. Eine kostenlose Sicherheitsanalyse kann genau diese Lücken sichtbar machen, bevor ein Vorfall sie unter Zeitdruck offenlegt.

Sichere Protokolle sind kein Selbstzweck und keine Sammlung technischer Spuren. Sie geben Ihrem Unternehmen die Kontrolle zurück: über Zugriffe, über Risiken und über die nächsten Schritte, wenn etwas nicht nach Plan läuft.