Priorisierte Quellen
- Webserver Access- und Error-Logs
- WAF-, CDN- und Load-Balancer-Ereignisse
- Hosting-, SFTP-, SSH- und Control-Panel-Logs
- WordPress-Audit- und Benutzerereignisse
- Datenbank-, Mail- und Formularprotokolle, soweit vorhanden
Sicher exportieren
Originaldateien werden unverändert kopiert, Zeitraum und Zeitzone dokumentiert und mit einer Prüfsumme versehen. Analyse und Filterung erfolgen auf Arbeitskopien. Zugriff erhalten nur Personen, die ihn für die Untersuchung und rechtliche Bewertung benötigen.
Aufbewahrung nicht improvisieren
Logs können IP-Adressen, Konten, URLs und Inhalte enthalten. Beweiserhalt, Datenschutz und Löschpflichten müssen gemeinsam abgestimmt werden.
Aussagegrenzen
Überschreiben, kurze Aufbewahrungsfristen, deaktivierte Protokollierung und unterschiedliche Zeitzonen erzeugen Lücken. Der Bericht benennt deshalb nicht nur Treffer, sondern auch fehlende Quellen und den tatsächlich abgedeckten Zeitraum.
Welche Logs haben zuerst Priorität?
Sichern Sie zuerst Quellen mit kurzer Aufbewahrung oder hoher Überschreibungsgefahr. Dazu gehören flüchtige Hostingansichten, WAF-Ereignisse und aktuelle Webserverlogs. Danach folgen Identitäts-, SFTP-/SSH-, Control-Panel-, Datenbank-, Mail- und Anwendungsprotokolle.
Notieren Sie für jede Quelle System, Exportzeit, abgedeckten Zeitraum, Zeitzone, Filter und bekannte Lücken. Ein Screenshot kann eine Meldung belegen, ersetzt aber keinen vollständigen maschinenlesbaren Export.
Wie bleibt der Export nachvollziehbar?
Bewahren Sie Originalexporte schreibgeschützt auf und berechnen Sie kryptografische Hashes. Analysieren Sie Kopien. Dokumentieren Sie, wer die Daten wann aus welchem System exportierte und ob der Provider bereits Filter angewendet hat.
Normalisieren Sie Zeitstempel erst in der Arbeitskopie. Sommerzeit, UTC, lokale Serverzeit und Uhrabweichungen müssen sichtbar bleiben, damit Ereignisse nicht fälschlich zusammengeführt werden.
Welche Fragen können Logs beantworten?
Protokolle können Anfragen, Anmeldungen, Dateiübertragungen, Rollenänderungen, Fehlermuster und ausgehende Aktionen verbinden. Sie zeigen jedoch nur Ereignisse, die an der jeweiligen Stelle aufgezeichnet wurden. Zugriffsprotokolle beweisen beispielsweise nicht automatisch, welcher PHP-Code intern ausgeführt wurde.
Für eine Datenabflussprüfung sind Reichweite und Integrität besonders wichtig. Der Musterbericht zeigt, wie Quellen und Grenzen dokumentiert werden.