Wissensraum · Deep Dive 7 von 27
Der unsichtbare Kern von Nachvollziehbarkeit und Resilienz
Was dieser Deep Dive Ihnen zeigt
Was Logging und Monitoring unter DORA leisten müssen, warum Nachvollziehbarkeit eine Governance-Frage ist – und wo die meisten Systeme die regulatorischen Anforderungen verfehlen.
DORA verlangt nicht nur technische Sicherheit, sondern Nachvollziehbarkeit. Systeme müssen so gestaltet sein, dass ihr Verhalten rekonstruiert und bewertet werden kann – insbesondere im Ereignis- oder Vorfallskontext.
Viele Unternehmen verfügen zwar über Logging, dieses ist jedoch häufig unstrukturiert, nicht risikoorientiert und organisatorisch nicht eingebettet. Unter DORA wird Logging von einer rein technischen Funktion zu einer zentralen Voraussetzung für Governance, Incident Management und Aufsichtsfähigkeit.
Standard-Server- oder Systemlogs
Keine einheitliche Struktur
Keine Korrelation zwischen Quellen
Kaum verwertbar für Vorfallanalysen
Einordnung
Minimal-Logging reicht weder für Incident-Analyse noch für regulatorische Nachvollziehbarkeit.
Logs werden zentral gesammelt
Fehlender Kontext und fehlende Bewertungslogik
Keine klaren Verantwortlichkeiten für Auswertung
Einordnung
Aggregation ist notwendig, ersetzt aber keine inhaltliche Steuerung.
Logging richtet sich an Risiken und kritischen Prozessen aus
Ereignisse werden kontextualisiert
Korrelation mit weiteren Quellen (z. B. SIEM, Monitoring)
Definierte Auswertungs- und Eskalationsketten
Einordnung
Dieser Ansatz stellt sicher, dass Logs operativ nutzbar und prüfbar sind.
Relevante und kritische Systeme nachvollziehbar abbilden
Korrelation von Ereignissen ermöglichen
Vor Manipulation geschützt
Über risikobasierte, definierte Zeiträume aufbewahrt
Aktiv ausgewertet, nicht nur gespeichert
In die System- und Prozessarchitektur integriert
Logging ist unter DORA auch ein Governance-Thema, nicht nur ein technisches.
Ausgangssituation
Ein Unternehmen erkennt ungewöhnliche Aktivitäten in einem Kundenportal. Zur Analyse sollen zentrale Fragen geklärt werden: Wer war eingeloggt? Auf welche Daten wurde zugegriffen? Wie lief der Angriff ab?
Was sich zeigt
API-Logs fehlen
Datenbank-Logs wurden nach kurzer Zeit überschrieben
Applikationslogs sind inkonsistent
Keine Korrelation der Ereignisse vorhanden
Konsequenz
Der Vorfall kann nicht rekonstruiert werden. Das Unternehmen muss gegenüber der Aufsicht erklären, dass Ausmaß und Ursache nicht belastbar festgestellt werden können.
Ursachen
Logging war nicht an Risikofaktoren ausgerichtet
Keine definierte Aufbewahrungsstrategie
Kein zentrales Monitoring
Unklare Verantwortlichkeiten
Use-Case-basiertes Logging: Definition dessen, was im Ereignisfall nachvollziehbar sein muss.
Standardisierte Log-Strukturen: Einheitliche Felder, Formate und Zeitstempel.
Risikobasierte Aufbewahrung: Abgestimmt auf Kritikalität, Prozesse und regulatorische Anforderungen.
Integration in Monitoring und SIEM: Automatisierte Korrelation und Auswertung.
Regelmäßige Überprüfungen: Technisch und organisatorisch (Wirksamkeit, Vollständigkeit).
Dokumentation des Logging-Konzepts: Nicht nur Logs selbst, sondern Design, Zweck und Verantwortlichkeiten.
Praxis-Impuls
DORA verlangt keine maximale Datensammlung, sondern gezielte Rückverfolgbarkeit. Stellen Sie sicher: Für jeden kritischen Service können wir im Ereignisfall beantworten, was wann passiert ist – und wer beteiligt war. Ohne belastbares Logging gibt es unter DORA keine belastbare Resilienz.