Server, Firewall, Arbeitsplätze und Cloud-Dienste zeichnen laufend auf, was auf ihnen geschieht: Anmeldungen, Konfigurationsänderungen, abgewiesene Verbindungen, Fehler. Diese Aufzeichnungen heißen Protokolle oder Logs. Im Alltag schaut kaum jemand hinein. Wichtig werden sie, wenn etwas schiefgeht und Sie nachvollziehen müssen, was passiert ist.
Dieser Beitrag erklärt, was Log-Management umfasst, was der IT-Grundschutz des BSI zur Protokollierung verlangt, welche Aufbewahrungsfristen nach Handels- und Steuerrecht gelten und wie ein mittelständisches Unternehmen schrittweise einsteigen kann.
Was Log-Management ist
Log-Management bedeutet, Protokolle gezielt zu erzeugen, zentral zu sammeln, sicher aufzubewahren und nach festen Regeln wieder zu löschen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt den Nutzen im IT-Grundschutz-Baustein OPS.1.1.5 Protokollierung so: Mit Protokolldaten lassen sich Hard- und Softwareprobleme rechtzeitig entdecken, Angriffe nachvollziehen und nach einem Angriff Beweise sichern (BSI, OPS.1.1.5, Edition 2023).
Drei Begriffe werden oft vermischt:
- Monitoring zeigt den aktuellen Zustand: Ist ein Dienst erreichbar, läuft ein Speicher voll?
- Log-Management hält fest, was wann auf welchem System geschehen ist, und macht diese Daten durchsuchbar.
- Ein SIEM (Security Information and Event Management) wertet die gesammelten Protokolle laufend aus, setzt Ereignisse aus verschiedenen Quellen zueinander in Beziehung und meldet Auffälligkeiten.
Das BSI trennt diese Aufgaben ebenfalls: Die Protokollierung regelt OPS.1.1.5, die Auswertung und Erkennung von Angriffen der Baustein DER.1. Saubere Protokolle sind die Voraussetzung für jede spätere Auswertung. Wie ein SIEM darauf aufbaut, erklären wir im Beitrag SIEM-Lösung: Was sie leistet und wie KMU einsteigen.
Was der IT-Grundschutz zur Protokollierung verlangt
Der Baustein OPS.1.1.5 beschreibt, was eine angemessene Protokollierung ausmacht. Die wichtigsten Anforderungen in Kurzform:
- Richtlinie: Eine eigene Sicherheitsrichtlinie regelt, wie, wo und was protokolliert wird. Art und Umfang sollen sich am Schutzbedarf orientieren (A1).
- Sicherheitsrelevante Ereignisse: Alle sicherheitsrelevanten Ereignisse von IT-Systemen und Anwendungen müssen protokolliert werden. In festgelegten Abständen ist stichprobenartig zu prüfen, ob die Protokollierung noch funktioniert (A3).
- Einheitliche Zeit: Die Systemzeit aller protokollierenden Systeme muss synchron sein, das Zeitformat einheitlich (A4). Ohne gemeinsame Zeitbasis lassen sich Ereignisse aus verschiedenen Systemen kaum in die richtige Reihenfolge bringen.
- Recht und Löschung: Datenschutz und Mitbestimmungsrechte der Beschäftigtenvertretung sind zu wahren. Protokolle müssen nach einem festgelegten Prozess gelöscht werden. Unkontrolliertes Löschen oder Verändern muss technisch unterbunden sein (A5).
- Zentrale Ablage: Sicherheitsrelevante Protokolle sollen an zentraler Stelle gespeichert werden (A6).
- Archivierung und Auswertung: Protokolle sollen unter Beachtung gesetzlicher Vorgaben archiviert, für die Auswertung gefiltert und vereinheitlicht und zusätzlich in unveränderter Originalform aufbewahrt werden (A8, A9).
- Zugriffsschutz: Wer ein System administriert, soll dessen Protokolle nicht verändern oder löschen dürfen (A10).
Bei erhöhtem Schutzbedarf nennt das BSI weitere Maßnahmen, etwa die verschlüsselte Übertragung und digitale Signatur der Protokolle (A12).
Der Baustein beschreibt auch typische Schwachstellen: Protokollierung ist in der Grundeinstellung oft nicht aktiviert, Einträge werden bei vollem Speicher überschrieben, und fällt eine Datenquelle aus, fehlen später genau die Informationen, die man braucht. Protokolle enthalten zudem oft Daten, die sich Personen zuordnen lassen, etwa Anmeldenamen, IP-Adressen und E-Mail-Adressen.
Aufbewahrungsfristen: was HGB und AO regeln
Bei der Frage „Wie lange müssen wir Logs aufheben?“ fallen schnell die Fristen aus Handels- und Steuerrecht. Diese Fristen gelten für bestimmte Unterlagenarten, nicht für Protokolldateien als solche. Maßgeblich sind § 257 HGB und § 147 AO in der aktuellen Fassung:
| Unterlagenart | § 257 HGB | § 147 AO |
|---|---|---|
| Handelsbücher bzw. Bücher und Aufzeichnungen, Inventare, Eröffnungsbilanzen, Jahresabschlüsse, Lageberichte, dazu die zum Verständnis nötigen Arbeitsanweisungen und Organisationsunterlagen | 10 Jahre | 10 Jahre |
| Buchungsbelege | 8 Jahre | 8 Jahre |
| Empfangene Handels- oder Geschäftsbriefe und Wiedergaben der abgesandten | 6 Jahre | 6 Jahre |
| Unterlagen nach dem Zollkodex der Union | – | 10 Jahre |
| Sonstige Unterlagen, soweit sie für die Besteuerung von Bedeutung sind | – | 6 Jahre |
Einige Einzelheiten gehören dazu:
- Die Frist für Buchungsbelege betrug früher zehn Jahre. Das Vierte Bürokratieentlastungsgesetz hat sie auf acht Jahre verkürzt (Gesetzentwurf der Bundesregierung, BT-Drucksache 20/11306).
- Für Kredit- und Wertpapierinstitute sowie Versicherungsunternehmen gelten nach § 257 Abs. 4 HGB für Buchungsbelege weiterhin zehn Jahre.
- Die Fristen beginnen jeweils mit dem Schluss des Kalenderjahres, in dem zum Beispiel der Beleg entstanden oder der Jahresabschluss festgestellt worden ist.
- Steuerlich läuft die Frist nicht ab, solange die Unterlagen für Steuern von Bedeutung sind, deren Festsetzungsfrist noch nicht abgelaufen ist (§ 147 Abs. 3 AO).
Was das für Sicherheitsprotokolle bedeutet
Für Protokolle von Firewall, Servern oder Anmeldediensten nennen HGB und AO keine eigene Frist. Ob einzelne Protokolle, etwa aus einem Buchhaltungs- oder Kassensystem, zu den aufbewahrungspflichtigen Unterlagen gehören, klären Sie mit Ihrer Steuerberatung.
Für alle übrigen Protokolle legen Sie die Frist selbst fest und begründen sie. Der IT-Grundschutz verlangt dafür einen festgelegten Löschprozess und die Beachtung gesetzlicher Vorgaben (OPS.1.1.5.A5 und A8). Wägen Sie dabei zwei Ziele gegeneinander ab: Für die Aufklärung eines Vorfalls brauchen Sie Protokolle aus einem ausreichend langen Zeitraum. Weil Protokolle personenbezogene Daten enthalten, sollten sie aber nicht länger als nötig gespeichert werden. Halten Sie die Entscheidung je Protokollart schriftlich fest und stimmen Sie sie mit Ihrer Datenschutzbeauftragten oder Ihrem Datenschutzbeauftragten ab.
Log-Management und NIS2
Das NIS-2-Umsetzungsgesetz gilt in Deutschland seit dem 6. Dezember 2025 (BSI: Fragen und Antworten zu NIS-2). Betroffene Einrichtungen müssen nach § 30 BSIG Risikomanagementmaßnahmen umsetzen, darunter die „Bewältigung von Sicherheitsvorfällen“. Den Begriff Protokollierung nennt der Paragraf nicht, und er schreibt auch kein bestimmtes Werkzeug vor.
Erhebliche Sicherheitsvorfälle sind nach § 32 BSIG in Stufen an das BSI zu melden: eine frühe Erstmeldung spätestens 24 Stunden und eine Meldung spätestens 72 Stunden nach Kenntniserlangung, eine Abschlussmeldung spätestens einen Monat nach der Meldung. Für die Meldung braucht das Unternehmen unter anderem eine erste Bewertung von Schweregrad und Auswirkungen. Vollständige, zeitlich stimmige Protokolle helfen, diese Angaben in der kurzen Zeit zu erarbeiten. Ob Ihr Unternehmen unter NIS2 fällt, besprechen wir auf unserer Seite zu NIS2 und Risikomanagement.
Log-Management Schritt für Schritt einführen
Wir empfehlen, klein anzufangen und den Umfang nach und nach zu erweitern:
- Wichtige Systeme festlegen: Welche Systeme sind für Ihren Betrieb unverzichtbar, und welchen Schutzbedarf haben sie? Typische erste Quellen sind Anmeldedienste wie Active Directory oder Microsoft Entra ID, Firewall, zentrale Server und der Endgeräteschutz.
- Richtlinie schreiben: Halten Sie fest, welche Ereignisse je System protokolliert werden, wo die Protokolle liegen, wer darauf zugreifen darf und wann sie gelöscht werden.
- Zeit vereinheitlichen: Stellen Sie sicher, dass alle Systeme ihre Uhrzeit aus derselben Quelle beziehen.
- Zentral sammeln: Leiten Sie die Protokolle an eine zentrale Ablage weiter, auf die Administratorinnen und Administratoren der Quellsysteme keine Lösch- oder Änderungsrechte haben.
- Ausfälle bemerken: Prüfen Sie regelmäßig, ob alle Quellen noch liefern und ob Speicherplatz ausreicht. Eine stille Quelle fällt sonst erst auf, wenn ihre Daten gebraucht werden.
- Auswertung planen: Legen Sie fest, wer die Protokolle wann ansieht und welche Ereignisse eine Meldung auslösen sollen, zum Beispiel gehäufte Fehlanmeldungen oder neue Administratorrechte. Hier beginnt der Übergang zum SIEM.
Selbst betreiben oder Unterstützung nutzen
Eine zentrale Protokollablage aufzubauen, ist meist überschaubar. Aufwendiger ist der Dauerbetrieb: Speicher planen, neue Systeme anbinden, Löschfristen umsetzen und vor allem die Protokolle auswerten, auch nachts und am Wochenende. Prüfen Sie deshalb, welche dieser Aufgaben Ihr Team dauerhaft leisten kann.
Wenn ein Dienstleister Aufgaben übernimmt, bleiben Entscheidungen über Fristen, Zugriffe und Meldungen bei Ihrem Unternehmen. Regeln Sie im Vertrag, wer welche Protokolle sehen darf, wo sie gespeichert werden und wie Sie bei Vertragsende an Ihre Daten kommen.
Unterstützung durch die GSL Groß GmbH
Wie wir den Stand Ihrer IT-Sicherheit prüfen und verbessern, lesen Sie auf unserer Seite zur IT-Sicherheit. Für die Überwachung und die Hilfe im Ernstfall arbeiten wir mit unserem Partner Eye Security zusammen. Einzelheiten finden Sie auf unserer Seite zu Managed Security und MDR. Den laufenden Betrieb Ihrer IT übernehmen wir im Rahmen unserer Managed Services.
Wir betreuen Unternehmen in Rheinland-Pfalz und Hessen von Idar-Oberstein aus; im Raum Darmstadt arbeiten wir dafür mit einem Partnersystemhaus zusammen. Sie möchten wissen, welche Protokolle in Ihrem Unternehmen schon entstehen und wo Lücken sind? Sprechen Sie uns an.