Security Logging & Monitoring: Unterschied, Logs, Praxis

Definition: Security Logging bedeutet, sicherheitsrelevante Ereignisse in IT-Systemen aufzuzeichnen, etwa Anmeldungen, Rechteänderungen oder Zugriffe auf sensible Daten. Security Monitoring bedeutet, diese Aufzeichnungen laufend auszuwerten und bei Auffälligkeiten Alarm zu schlagen. Zusammen sorgen sie dafür, dass Angriffe erkannt und aufgeklärt werden können.

Was ist Security Logging und Monitoring?

Jedes IT-System erzeugt Protokolle, sogenannte Logs. Sie halten fest, wer wann was getan hat. Für die Sicherheit sind nur bestimmte Ereignisse wichtig. Security Logging wählt diese aus, sammelt sie zentral und schützt sie vor Manipulation.

Logs allein helfen aber wenig, wenn niemand sie liest. Hier setzt Security Monitoring an. Es prüft die Logs ständig auf Muster, die auf einen Angriff hindeuten. Erkennt es etwas, alarmiert es die zuständigen Personen.

Logging und Monitoring: der Unterschied

Logging ist das Aufzeichnen. Es beantwortet die Frage: Was ist passiert?
Monitoring ist das Beobachten. Es beantwortet die Frage: Passiert gerade etwas Auffälliges?
Alerting ist das Melden. Es sorgt dafür, dass ein Mensch reagiert.

Ein Beispiel: Ein Server protokolliert jede fehlgeschlagene Anmeldung. Das ist Logging. Eine Regel bemerkt 500 Fehlversuche in einer Minute für dasselbe Konto. Das ist Monitoring. Das Sicherheitsteam bekommt eine Meldung und sperrt den Zugang. Das ist Alerting mit Reaktion.

Im IT-Betrieb meint „Monitoring“ oft auch die Überwachung von Verfügbarkeit und Leistung, etwa der Auslastung eines Servers. Security Monitoring konzentriert sich dagegen auf Angriffe und Missbrauch.

Welche Ereignisse sollten protokolliert werden?

Anmeldungen: erfolgreiche und fehlgeschlagene Logins, besonders bei Administratoren und Fernzugriffen.
Konten und Rechte: neue Konten, geänderte Gruppen, vergebene Administratorrechte.
Zugriffe auf sensible Daten: wer wann auf vertrauliche Dateien oder Datenbanken zugegriffen hat.
Konfigurationsänderungen: an Servern, Firewalls und Cloud-Diensten.
Netzwerk: Firewall-, VPN-, Proxy- und DNS-Logs.
Endgeräte: Alarme von Virenschutz oder EDR, gestartete Programme auf kritischen Systemen.
Anwendungen: sicherheitsrelevante Ereignisse in eigenen Anwendungen, etwa abgelehnte Zugriffe.

Nicht ins Log gehören Passwörter, Sitzungs-Token, vollständige Kartennummern und andere Geheimnisse. Sonst wird das Log selbst zum Angriffsziel.

So funktioniert Security Logging und Monitoring

Quellen festlegen: Welche Systeme liefern sicherheitsrelevante Logs?
Zeit synchronisieren: Alle Systeme nutzen dieselbe Uhrzeit. Nur dann lassen sich Ereignisse aus verschiedenen Quellen zuordnen.
Zentral sammeln: Die Logs laufen in einem zentralen System zusammen. Mehr dazu unter Log-Management.
Schützen: Logs werden so gespeichert, dass Angreifer sie nicht löschen oder ändern können. Ihre Integrität muss gesichert sein.
Auswerten: Ein SIEM verknüpft Ereignisse und erkennt Muster nach festen Regeln.
Alarmieren und reagieren: Alarme gehen an ein Team mit klaren Zuständigkeiten, etwa ein Security Operations Center. Für schwere Fälle greift der Incident-Response-Plan.
Aufbewahren und löschen: Fristen je Log-Art festlegen und einhalten.

Warum Security Logging und Monitoring wichtig sind

Angriffe früh erkennen: Viele Angriffe hinterlassen Spuren in den Logs, lange bevor Schaden entsteht.
Vorfälle aufklären: Nach einem Angriff zeigen die Logs, wie der Angreifer hereinkam und was er getan hat. Ohne Logs bleibt das oft unklar.
Pflichten erfüllen: Normen und Gesetze verlangen Protokollierung und Überwachung (siehe unten).
Betrieb verbessern: Logs zeigen auch Fehler und Engpässe in der IT.

Wie wichtig das Thema ist, zeigt auch die OWASP Top 10:2025. Dort steht „Security Logging and Alerting Failures“ als eigene Kategorie A09. Mehr dazu unter OWASP Top 10.

Anforderungen aus Normen und Gesetzen

ISO 27001: Der Anhang A der Fassung 2022 enthält eigene Maßnahmen für Protokollierung (A 8.15) und für die Überwachung von Aktivitäten (A 8.16). Siehe ISO 27001.
NIS-2: Betroffene Unternehmen müssen Sicherheitsvorfälle erkennen, bewältigen und fristgerecht melden. Ohne Logging und Monitoring ist das kaum möglich. Siehe NIS-2.
DSGVO: Logs enthalten oft personenbezogene Daten. Zweck, Zugriff und Löschfristen müssen geregelt sein. Siehe DSGVO.
Mitbestimmung: Wo es einen Betriebsrat gibt, hat er bei technischer Überwachung von Mitarbeitenden ein Mitbestimmungsrecht. Beziehen Sie ihn früh ein.

Häufige Fehler

Alles sammeln, nichts auswerten: Große Datenmengen ohne Regeln und Zuständigkeiten bringen keine Sicherheit.
Zu viele Alarme: Wer ständig unwichtige Meldungen bekommt, übersieht die wichtigen. Regeln müssen regelmäßig nachgeschärft werden.
Lücken bei den Quellen: Cloud-Dienste oder Fernzugänge fehlen in der Protokollierung.
Ungeschützte Logs: Angreifer löschen ihre Spuren, wenn die Logs auf demselben System liegen und nicht gesichert sind.
Keine Tests: Ob ein Alarm wirklich auslöst, zeigt sich erst im Test, etwa bei einer Angriffssimulation.

Fazit

Security Logging zeichnet auf, was in Ihren Systemen passiert. Security Monitoring sorgt dafür, dass jemand reagiert, wenn etwas nicht stimmt. Beides gehört zusammen. Wer die wichtigen Quellen erfasst, Logs schützt und Alarme mit klaren Zuständigkeiten verbindet, erkennt Angriffe früh und kann sie später sauber aufklären.

Häufige Fragen zu Security Logging & Monitoring

Was ist der Unterschied zwischen Logging und Monitoring?

Logging zeichnet Ereignisse auf, zum Beispiel jede Anmeldung. Monitoring wertet diese Aufzeichnungen laufend aus und schlägt Alarm, wenn etwas auffällig ist. Logging ist die Grundlage, Monitoring macht daraus Erkennung.

Wie lange sollte man Logs aufbewahren?

Eine einheitliche Frist gibt es nicht. Die Dauer hängt vom Zweck, von gesetzlichen Vorgaben und vom Datenschutz ab. Legen Sie die Fristen je Log-Art fest und dokumentieren Sie sie. Für die Aufklärung von Angriffen sollten die Logs weit genug zurückreichen, denn viele Angriffe werden erst nach Wochen entdeckt.

Was ist ein SIEM?

Ein SIEM (Security Information and Event Management) sammelt Logs aus vielen Quellen an einer Stelle. Es verknüpft die Ereignisse miteinander und erzeugt Alarme nach festgelegten Regeln. So fallen Muster auf, die in einem einzelnen Log nicht sichtbar wären.

Darf man Logs mit Daten von Mitarbeitenden speichern?

Ja, wenn es einen klaren Zweck wie die IT-Sicherheit gibt und der Datenschutz beachtet wird. Logs enthalten oft personenbezogene Daten. Zugriff, Zweck und Löschfristen müssen deshalb geregelt sein. Wo es einen Betriebsrat gibt, hat er bei technischer Überwachung ein Mitbestimmungsrecht.

Was gehört nicht in ein Log?

Passwörter, Sitzungs-Token, vollständige Kartennummern und andere Geheimnisse gehören nie in ein Log. Sonst wird das Log selbst zum Angriffsziel. Auch sonstige personenbezogene Daten sollten nur so weit wie nötig erfasst werden.

Mit welchen Logs sollte man anfangen?

Mit Anmeldungen und Rechteänderungen im Active Directory und in Cloud-Diensten, mit Firewall- und VPN-Logs sowie mit den Alarmen des Virenschutzes oder EDR. Diese Quellen zeigen die meisten Angriffe früh.

Weitere Begriffe in „Endpoint & Monitoring“

Alle Begriffe zum Thema „Endpoint & Monitoring“ →