Protokollierung

Wenn ein Programm läuft, schreibt es im Hintergrund oft mit, was passiert. Es notiert etwa: Um 14:02 Uhr hat sich Nutzer A angemeldet. Um 14:03 Uhr wurde eine Datei gespeichert. Um 14:04 Uhr ist ein Fehler aufgetreten. Diese Notizen nennt man Protokoll, oft auch mit dem englischen Wort Log. Das Anlegen solcher Notizen heißt Protokollierung. Man kann sich das wie ein Bordbuch auf einem Schiff vorstellen: niemand liest es im Normalbetrieb, aber nach einem Zwischenfall ist es die wichtigste Quelle.

Ohne Protokoll bleibt jeder Fehler ein Rätsel

Software läuft heute auf vielen Rechnern gleichzeitig, oft verteilt über mehrere Rechenzentren. Wenn dort etwas schiefgeht, kann niemand daneben stehen und zuschauen. Der Fehler ist meist schon vorbei, bevor jemand ihn bemerkt. Nur das Protokoll bewahrt, was in diesem Moment geschah. Ohne diese Aufzeichnung müsste man den Fehler mühsam nachstellen, und das gelingt oft nicht.

Ein zweiter Grund ist Sicherheit. Greift jemand unbefugt auf ein System zu, hinterlässt er Spuren im Protokoll. Fachleute erkennen daran, welche Konten betroffen waren und wie weit der Angreifer kam. Banken und Versicherungen sind sogar gesetzlich verpflichtet, bestimmte Vorgänge nachvollziehbar aufzuzeichnen. Solche besonders geschützten Protokolle heißen Audit-Trail, also Prüfpfad.

Bei KI-Systemen kommt ein dritter Grund hinzu. Die europäische KI-Verordnung verlangt für risikoreiche Anwendungen, dass ihr Betrieb automatisch aufgezeichnet wird. Wenn eine Software etwa Bewerbungen vorsortiert, muss später überprüfbar sein, welche Daten sie erhielt und was sie ausgab. Protokollierung ist damit nicht nur Technik, sondern eine rechtliche Anforderung.

Vom Zeitstempel bis zur Suchmaske

Ein einzelner Protokolleintrag besteht meist aus drei Teilen. Erstens der Zeitpunkt, auf die Millisekunde genau. Zweitens eine Einordnung, wie wichtig die Meldung ist. Drittens der eigentliche Text mit Details. Für die Einordnung gibt es feste Stufen: von reinen Zusatzinfos über Warnungen bis zu schweren Fehlern. So kann man später gezielt nur die kritischen Meldungen ansehen.

Früher landeten Protokolle einfach in einer Textdatei auf demselben Rechner. Das reicht heute nicht mehr, denn ein Dienst läuft auf dutzenden Servern. Deshalb schicken alle Rechner ihre Einträge an einen zentralen Sammelpunkt. Dort werden sie durchsuchbar gemacht, ähnlich wie bei einer Suchmaschine. Ein Entwickler kann dann in Sekunden alle Meldungen zu einem bestimmten Nutzer aus der letzten Woche herausfiltern.

Die Menge ist dabei das größte Problem. Große Dienste erzeugen täglich mehrere Terabyte an Protokolldaten. Speicherplatz und Auswertung kosten Geld, deshalb wird meist nur ein Teil lange aufbewahrt. Ein häufiger Fehler ist außerdem, zu viel mitzuschreiben: Landen Passwörter oder Gesundheitsdaten im Protokoll, entsteht daraus selbst ein Datenschutzproblem. Gute Protokollierung ist also eine Frage der Auswahl, nicht der Vollständigkeit.

Protokolle im eigenen Alltag und in Firmenmeldungen

Auf dem eigenen Rechner begegnet man Protokollen unbemerkt. Windows führt eine Ereignisanzeige, Android und iPhone schreiben Absturzberichte mit. Wenn eine App abstürzt und fragt, ob sie einen Bericht senden darf, schickt sie einen Auszug aus ihrem Protokoll an den Hersteller. Auch der Browser hat eine Konsole, in der Webseiten ihre Meldungen ablegen.

In der Wirtschaftspresse taucht der Begriff meist nach Störungen auf. Nach dem Ausfall eines Cloud-Anbieters erscheint oft ein Bericht, der aus den Protokollen rekonstruiert, welche Fehlkonfiguration die Kette auslöste. Rund um Protokollierung ist außerdem eine eigene Branche entstanden. Anbieter wie Datadog oder Splunk verdienen damit, Logdaten zu sammeln und auszuwerten, und werden an der Börse hoch bewertet.

Abgrenzen sollte man Protokollierung von Monitoring, also Überwachung. Monitoring beobachtet laufend Kennzahlen wie Antwortzeit oder Auslastung und schlägt Alarm. Protokollierung liefert dagegen die einzelnen Ereignisse, mit denen man den Alarm erklärt. In der Praxis arbeiten beide zusammen: Das Monitoring sagt, dass etwas kaputt ist, das Protokoll sagt, warum.