Logging- und Aufbewahrungsanforderungen im Vergleich

Audit-Logging ist nahezu universell: Zehn der elf Frameworks, die wir zuordnen, verlangen es (die DSGVO (GDPR) ist die Ausnahme, und selbst dort sind Logs der Weg, um eine Datenschutzverletzung aufzuklären). Die Anforderungen unterscheiden sich in zwei Punkten: was protokolliert werden soll und wie lange es aufzubewahren ist. Der zweite Punkt ist der, an dem Teams am häufigsten hängen bleiben, weil nur wenige Frameworks eine Zahl nennen.

Wer was verlangt

Framework	Protokollierung & Audit	Verknüpfung
NIST CSF 2.0	PR.PS-04DE.AE-03	Themendefinition
ISO 27001	A.8.15A.8.17	Crosswalk
CIS v8.1	CIS 8.2CIS 8.10CIS 3.14CIS 8.1CIS 8.3CIS 8.4CIS 8.5CIS 8.7CIS 8.8CIS 8.12	Crosswalk
SOC 2	CC7.2	Redaktionell
PCI DSS	10.2.110.3.210.5.110.6.1	Crosswalk
CMMC	AU.L2-3.3.1AU.L2-3.3.2AU.L2-3.3.7	Crosswalk
800-53	AU-2AU-3AU-11AU-12	Crosswalk
HIPAA	§164.312(b)	Crosswalk
GDPR	—	Keine Zuordnung in unseren Daten
NIS2	3.2	Crosswalk
Essential Eight	ISM-1815ISM-1660ISM-1509ISM-1683ISM-1623	Redaktionell

Vollständige Details und die Begründung für jede Verknüpfung: Protokollierung & Audit über Frameworks hinweg →

Was protokolliert werden soll

Die spezifischsten Frameworks listen Ereignisse auf. PCI DSS verlangt, dass Logs den individuellen Benutzerzugriff auf Karteninhaberdaten, alle administrativen Aktionen, den Zugriff auf die Logs selbst, ungültige Zugriffsversuche, Änderungen an Identifikations- und Authentifizierungsdaten, das Starten und Beenden der Protokollierung sowie das Anlegen und Löschen von Objekten auf Systemebene erfassen (10.2.1.1 bis 10.2.1.7), jeweils mit Benutzer, Ereignistyp, Zeitpunkt, Ergebnis und Herkunft (10.2.2). Die CIS Controls ergänzen detaillierte DNS-, URL- und Kommandozeilen-Logs (8.5 bis 8.8). SP 800-53 und CMMC verlangen, dass Sie die protokollierten Ereignisse definieren (AU-2; AU.L2-3.3.1). ISO 27001 (A.8.15) und SOC 2 (CC7.2) verlangen eine Protokollierung, die zu Ihren Risiken passt.

Wie lange Logs aufbewahrt werden

Framework	Aufbewahrung
PCI DSS	Mindestens 12 Monate, wobei die letzten drei Monate sofort verfügbar sein müssen (10.5.1)
CIS Controls	Mindestens 90 Tage (8.10)
SP 800-53	Ein Zeitraum, den Sie festlegen (AU-11)
CMMC Level 2	So lange wie nötig, um zu überwachen, zu analysieren, zu untersuchen und zu berichten (AU.L2-3.3.1)
ISO 27001, SOC 2	Nicht festgelegt; richtet sich nach Ihrer Risikobewertung und gesetzlichen Pflichten
HIPAA	Für Logs nicht festgelegt (die Sechsjahresregel gilt für die Dokumentation)

Wahl der Aufbewahrungsdauer

Wenn PCI DSS für einen Teil Ihrer Umgebung gilt, ist 12 Monate mit drei Monaten sofortiger Verfügbarkeit die naheliegende Basis, und sie erfüllt das CIS-Minimum problemlos. Für alle anderen ist sie ebenfalls ein vernünftiger Standard: lang genug, um Vorfälle zu untersuchen, die erst Monate später entdeckt werden, was bei vielen der Fall ist, und kurz genug, um die Speicherung bezahlbar zu halten. Passen Sie den Zeitraum an gesetzliche Vorgaben und vertragliche Verpflichtungen in Ihrer Branche an, und dokumentieren Sie die Entscheidung mit ihrer Begründung; genau danach werden ISO- und SOC-2-Auditoren suchen.

Was aufbewahrt werden soll, nicht nur wie lange

Aufbewahrungsfristen gelten für die Logs, die für Untersuchungen relevant sind. Eine praxisnahe Abstufung:

• Sicherheitsrelevante Logs (Authentifizierung, privilegierte Aktionen, Firewall- und EDR-Ereignisse, Zugriff auf sensible Daten): die volle Aufbewahrungsfrist, vor Veränderung geschützt.
• Betriebliche Logs (Debug-Ausgaben von Anwendungen, Leistungsmetriken): kürzere Aufbewahrung, festgelegt nach dem Bedarf der Entwicklung.
• Logs mit personenbezogenen Daten: so lange wie für die Sicherheit nötig, nicht länger als notwendig; so wird der Grundsatz der Speicherbegrenzung der DSGVO eingehalten.

Schreiben Sie die Stufen in Ihre Logging-Richtlinie, damit die Entscheidung zur Aufbewahrung nachvollziehbar und vertretbar ist.

Wichtigste Erkenntnisse

• Zehn von elf Frameworks verlangen Audit-Logging.
• Nur PCI DSS und CIS legen Aufbewahrungsfristen fest.
• Zwölf Monate, davon drei sofort verfügbar, sind ein sicherer Standard.
• Schützen Sie Logs vor Manipulation und werten Sie Sicherheitsereignisse aus; PCI DSS verlangt eine tägliche Prüfung.

Mehr als Aufbewahrung

• Logs vor Manipulation schützen (PCI 10.3.2, CMMC AU.L2-3.3.8): WORM-Speicher oder eine zentrale Log-Plattform mit eingeschränktem Zugriff.
• Uhren synchronisieren (PCI 10.6.1, CIS 8.4, CMMC AU.L2-3.3.7), sonst scheitert die Korrelation von Ereignissen über Systeme hinweg.
• Logs prüfen: PCI verlangt eine tägliche Prüfung der Sicherheitsereignisse (10.4.1); die meisten anderen erwarten eine regelmäßige Prüfung, meist automatisiert.

Die Seite zum Thema Logging & Audit listet jede Anforderung mit ihrer Quelle auf, und das verwandte Thema SIEM / SOC behandelt die Analyse. Die Lückenanalyse vergleicht zwei beliebige Frameworks vollständig.

Fragen

Wie lange müssen Logs laut PCI DSS aufbewahrt werden?

Mindestens 12 Monate Audit-Log-Historie, wobei die jüngsten drei Monate sofort für die Analyse verfügbar sein müssen (10.5.1).

Legt HIPAA eine Aufbewahrungsfrist für Logs fest?

Nein. Die Security Rule verlangt Audit-Kontrollen (§164.312(b)), legt aber keine Aufbewahrungsfrist für Logs fest. Ihre Sechsjahresfrist gilt für vorgeschriebene Dokumentation wie Richtlinien, nicht für Audit-Logs.