Logging und Monitoring bezeichnet das systematische Protokollieren sicherheitsrelevanter Ereignisse und ihre fortlaufende Auswertung, als Grundlage für Erkennung, Reaktion und Forensik.
Logging und Monitoring sind die Sinnesorgane der Verteidigung. Logging bedeutet, dass Systeme, Anwendungen und Netzwerkkomponenten sicherheitsrelevante Ereignisse aufzeichnen: Anmeldungen, Rechteänderungen, Prozessstarts, Konfigurationsänderungen, Netzwerkverbindungen, Zugriffe auf Daten. Monitoring bedeutet, dass diese Aufzeichnungen zentral gesammelt, fortlaufend ausgewertet und bei Auffälligkeiten in Alarme übersetzt werden. Ohne Logging gibt es keine Erkennung, keine Forensik und keinen Nachweis gegenüber Aufsicht und Versicherer.
Technisch laufen die Daten in einem SIEM oder einer vergleichbaren Plattform zusammen und werden vom SOC ausgewertet. Die Qualität der Erkennung hängt direkt davon ab, welche Quellen mit welchem Detailgrad angebunden sind.
Bausteine eines Logging-Konzepts
- Quellen: Domänencontroller und Identitätsprovider, Endpunkte (EDR, Systemprotokolle), Server, Firewalls und Proxys, VPN, E-Mail-Gateway, Cloud-Plattformen und SaaS-Anwendungen, Datenbanken, OT-Komponenten.
- Detailgrad: Standardeinstellungen reichen nicht. Erweiterte Audit-Richtlinien, Protokollierung von Prozess-Kommandozeilen und Skripten, Objektzugriffs-Auditing auf sensible Freigaben.
- Transport und Integrität: Zeitnaher Versand an eine zentrale Instanz, die Angreifer nicht löschen können; synchronisierte Uhren, damit Zeitleisten stimmen.
- Aufbewahrung: Mehrere Monate für die Erkennung und Forensik, länger für regulatorische Nachweise.
- Auswertung: Erkennungsregeln, Dashboards, Hunting-Abfragen; Alarm auf das Ausbleiben von Logs einer Quelle.
Bedeutung für Unternehmen
Angriffserkennung ist Pflicht geworden: Der BSI-IT-Grundschutz, NIS2, DORA und ISO 27001 fordern Protokollierung und Überwachung. Entscheidender als die Pflicht ist der Nutzen: Laut Mandiant M-Trends 2026 werden nur 52 Prozent der Vorfälle intern erkannt, und die mediane Dwell Time liegt bei 14 Tagen. Die Lücke zwischen Angriff und Erkennung ist zu großen Teilen eine Lücke in der Sichtbarkeit.
Was wir in Einsätzen sehen: Die Protokollierung ist vorhanden, aber nicht dort, wo der Angriff stattfindet. Typische Befunde sind Domänencontroller ohne erweiterte Audit-Richtlinien, sodass Angriffe auf Kerberos keine auswertbaren Ereignisse hinterlassen; fehlende Kommandozeilen-Protokollierung, die Bordmittel-Angriffe unsichtbar macht; Cloud-Audit-Logs, die nie aktiviert wurden; und Ereignisprotokolle auf Servern, die sich nach wenigen Stunden überschreiben, weil kein zentraler Versand eingerichtet ist. Im Replay-Workshop nach einem Einsatz lautet der häufigste Satz: „Dafür hatten wir keine Daten."
Praxis: Umsetzung und Prüfung
- Von Angriffstechniken rückwärts planen: Für jede relevante Technik aus MITRE ATT&CK festlegen, welche Datenquelle sie sichtbar macht, und diese Quelle anbinden. Das verhindert teure, aber nutzlose Logsammlung.
- Identität zuerst: Domänencontroller, Entra ID und VPN vollständig und mit erweitertem Detailgrad. Hier entscheiden sich die meisten Angriffe.
- Logs vor dem Angreifer schützen: Zentrale Sammlung in Echtzeit, Schreibschutz auf der Plattform, eigener Alarm bei gelöschten Protokollen oder gestoppten Agenten.
- Vollständigkeit messen: Welche Systeme liefern keine Daten? Ein monatlicher Abgleich zwischen Inventar und Logquellen deckt blinde Flecken auf.
- Mit echter Aktivität validieren: Im Purple Teaming führen wir Techniken aus, und Ihr Team prüft live, ob das erwartete Ereignis ankommt. Fehlt es, wird die Quelle konfiguriert und die Technik wiederholt. So entsteht in kurzer Zeit ein Logging-Konzept, das nachweislich funktioniert.