Ereignisprotokoll
Ein Ereignisprotokoll ist eine Liste, in die ein Computerprogramm laufend hineinschreibt, was gerade passiert ist – mit Zeitpunkt und kurzer Beschreibung. Solche Protokolle sind die wichtigste Grundlage, um Fehler zu finden, Angriffe nachzuweisen und den Betrieb großer Systeme zu überwachen.
Ein Ereignisprotokoll ist eine fortlaufende Liste von Einträgen, die ein Programm über sich selbst schreibt. Jeder Eintrag hält fest, wann etwas passiert ist und was genau. Ein typischer Eintrag lautet etwa: « 14:02:17 – Nutzer angemeldet » oder « 14:02:19 – Zugriff verweigert ». Das Programm erzeugt diese Zeilen automatisch, während es läuft, und hängt sie unten an eine Datei an. Man kann sich das wie das Fahrtenbuch eines Autos vorstellen: Es macht das Fahren nicht besser, aber später kann man nachlesen, wer wann wohin gefahren ist. Im Englischen heißen solche Protokolle « Logs », und dieses Wort benutzen auch deutsche Fachleute meistens.
Warum ohne Protokoll niemand den Fehler findet
Software läuft heute auf Servern, die niemand direkt vor sich hat. Wenn ein Onlineshop um drei Uhr nachts für zwölf Minuten ausfällt, war kein Mensch dabei. Die einzige Spur ist das, was die Programme in dieser Zeit aufgeschrieben haben. Ohne Protokoll bleibt nur Raten, und Raten ist bei tausenden Bestellungen pro Stunde teuer.
Der zweite große Grund ist Sicherheit. Wer in ein System eindringt, hinterlässt fast immer Einträge: ungewöhnlich viele fehlgeschlagene Anmeldeversuche, Zugriffe zu absurden Uhrzeiten, plötzlich riesige Datenmengen, die das Haus verlassen. Genau deshalb versuchen Angreifer oft, Protokolle zu löschen. Aus diesem Grund schickt man sie sofort an einen zweiten, gut geschützten Rechner. Solche fälschungssicheren Protokolle nennt man Audit-Logs; Banken und Krankenhäuser sind gesetzlich verpflichtet, sie zu führen.
Bei KI-Systemen kommt ein dritter Grund hinzu. Ein Sprachmodell antwortet nicht immer gleich, selbst auf dieselbe Frage. Beschwert sich jemand über eine falsche oder beleidigende Antwort, hilft nur das Protokoll der tatsächlich gestellten Anfrage. Die europäische KI-Verordnung schreibt für riskante Anwendungen deshalb ausdrücklich eine automatische Aufzeichnung vor.
Vom einzelnen Eintrag zur durchsuchbaren Datenmenge
Ein Eintrag besteht meist aus vier Teilen. Erstens der Zeitstempel, oft auf die Millisekunde genau. Zweitens eine Kennung, welches Bauteil geschrieben hat. Drittens eine Stufe, die den Ernst der Lage angibt: INFO für Normalbetrieb, WARN für Auffälligkeiten, ERROR für echte Fehler. Viertens die Nachricht selbst, dazu oft eine Kennnummer für die Anfrage.
Diese Kennnummer ist wichtiger, als sie klingt. Moderne Anwendungen bestehen aus vielen kleinen Diensten, die sich gegenseitig aufrufen. Eine einzige Bestellung erzeugt Einträge in einem Dutzend Protokollen auf verschiedenen Rechnern. Nur weil überall dieselbe Nummer mitgeschrieben wird, lässt sich der Weg der Bestellung später zusammensetzen.
Große Systeme erzeugen dabei enorme Mengen, durchaus mehrere Gigabyte pro Tag. Deshalb sammelt eine eigene Software alle Protokolle ein, legt sie zentral ab und macht sie durchsuchbar. Ältere Einträge werden nach Tagen oder Wochen automatisch gelöscht, weil Speicher Geld kostet. Wer zu viel protokolliert, macht das Suchen schwerer, nicht leichter – ein häufiger Anfängerfehler.
Wo dir Logs tatsächlich unterkommen
Auch dein eigener Computer führt Ereignisprotokolle. Windows hat dafür die Ereignisanzeige, ein Programm, das jeden Systemstart, jeden Absturz und jedes fehlerhafte Gerät auflistet. Wenn ein Support-Mitarbeiter sagt, du sollst « mal in die Logs schauen », meint er genau das. Auch dein Router protokolliert, welche Geräte sich wann ins WLAN eingewählt haben.
In den Nachrichten tauchen Protokolle vor allem nach Störungen und Datenlecks auf. Wenn ein Unternehmen erklärt, ein Angriff sei « seit sechs Monaten unentdeckt » gewesen, stammt diese Erkenntnis aus alten Logdateien. Umgekehrt heißt es manchmal, das Ausmaß eines Vorfalls lasse sich nicht klären, weil Protokolle fehlten oder zu früh gelöscht wurden. Das ist regelmäßig ein Kritikpunkt der Aufsichtsbehörden.
Nicht verwechseln sollte man Protokolle mit Kennzahlen und Nachverfolgung. Kennzahlen sind Messwerte wie Speicherauslastung, also Zahlen im Zeitverlauf. Nachverfolgung zeigt den Weg einer Anfrage durch das System. Das Ereignisprotokoll dagegen liefert die Textbeschreibung einzelner Vorfälle. Fachleute sprechen von den drei Säulen der Beobachtbarkeit und brauchen in der Praxis alle drei.