Audit-Log

Ein Audit-Log ist ein Protokoll, das ein Computersystem selbst über seine Benutzung schreibt. Jeder wichtige Vorgang wird darin als eine Zeile festgehalten. Eine solche Zeile beantwortet vier Fragen: Wer hat gehandelt, wann, was genau, und mit welchem Ergebnis. Ein Beispiel: « Nutzerin M. Weber hat am 14.03. um 09:22 Uhr die Datei Gehaelter.xlsx heruntergeladen. » Das Protokoll ist dabei nicht dazu gedacht, dass jemand es täglich liest. Es wird geschrieben, damit man später etwas darin nachschlagen kann, wenn Fragen auftauchen. Man kann es sich wie das Fahrtenbuch eines Firmenwagens vorstellen, nur dass es automatisch ausgefüllt wird und niemand es nachträglich sauber abschreiben kann.

Was ein Protokoll beweisbar macht

Ohne Aufzeichnung ist ein Verdacht nicht überprüfbar. Wenn Kundendaten in falsche Hände geraten, will ein Unternehmen wissen, über welchen Zugang das passiert ist. Genau diese Rekonstruktion leistet das Audit-Log. Es unterscheidet zwischen einem Angriff von außen, einem Fehler im Programm und einem Mitarbeiter, der Daten mitgenommen hat. Ohne diese Unterscheidung bleibt jede Aufklärung Spekulation.

Bei vielen Anwendungen ist ein solches Protokoll außerdem gesetzlich verlangt. Krankenhäuser, Banken und Behörden müssen belegen können, wer Einsicht in sensible Akten hatte. Prüfer verlangen diese Nachweise regelmäßig. Fehlt das Protokoll, gilt der Nachweis als nicht erbracht, selbst wenn tatsächlich nichts Unrechtes geschehen ist.

Bei künstlicher Intelligenz kommt ein weiterer Grund hinzu. Moderne KI-Systeme handeln teils selbstständig: Sie schreiben E-Mails, buchen Termine oder verändern Datenbanken. Wenn dabei etwas schiefgeht, muss man nachlesen können, welche Aktion das System auf welche Anweisung hin ausgeführt hat. Das Audit-Log ist hier oft der einzige Weg, die Verantwortung überhaupt zuzuordnen.

Wie die Einträge entstehen und geschützt werden

Programmierer legen im Programm fest, welche Vorgänge protokolliert werden. Typisch sind Anmeldungen, Änderungen an Einstellungen, Zugriffe auf vertrauliche Daten und Löschvorgänge. Jeder Eintrag erhält einen Zeitstempel, also eine genaue Uhrzeit, und die Kennung des handelnden Kontos. Häufig wird auch die IP-Adresse gespeichert, das ist die Netzwerkadresse des benutzten Geräts.

Entscheidend ist, dass niemand Einträge nachträglich ändern kann. Ein Protokoll, das der Täter überschreiben darf, ist wertlos. Deshalb liegen Audit-Logs oft auf einem getrennten System, auf das die normalen Nutzer keinen Schreibzugriff haben. Manche Systeme arbeiten mit Prüfsummen: Aus jedem Eintrag wird eine Art digitaler Fingerabdruck berechnet, der zum nächsten Eintrag gehört. Verändert man eine Zeile, passen die Fingerabdrücke nicht mehr zusammen, und die Manipulation fällt auf.

Ein häufiger Irrtum ist, Audit-Log und Log seien dasselbe. Ein gewöhnliches Log ist ein technisches Tagebuch für Entwickler und enthält Fehlermeldungen und Zwischenwerte. Es wird oft nach Tagen gelöscht. Ein Audit-Log dagegen dokumentiert Handlungen von Personen, ist gegen Änderungen geschützt und wird über Jahre aufbewahrt.

Vom Schulportal bis zur Cloud-Rechnung

Wer ein Online-Konto hat, ist selbst schon Nutzer eines Audit-Logs. Bei Google, Instagram oder in einer Schulplattform gibt es eine Übersicht der letzten Anmeldungen mit Gerät, Ort und Zeit. Wenn dort ein unbekanntes Gerät auftaucht, hat vermutlich jemand das Passwort. Genau dafür ist diese Liste da.

In Unternehmen ist das Audit-Log ein festes Verkaufsargument von Software. Anbieter von Cloud-Diensten werben damit, dass ihre teureren Geschäftstarife vollständige Protokolle mitbringen. Auch bei KI-Werkzeugen für Firmen steht das inzwischen im Angebot: Man kann nachlesen, welcher Mitarbeiter welche Anfrage an das Modell geschickt hat. Für Firmen mit Betriebsgeheimnissen ist das oft der Grund, überhaupt einen kostenpflichtigen Tarif zu wählen.

In Nachrichten begegnet der Begriff meist nach einem Sicherheitsvorfall. Dann heißt es, die Auswertung der Protokolle habe den Zugriff auf einen bestimmten Zeitraum eingegrenzt. Oder eben, es habe keine ausreichenden Protokolle gegeben, weshalb der Umfang des Schadens unklar bleibe. Diese zweite Variante gilt in der Fachwelt als schwerer Vorwurf.