Januar 4, 2026

Anhang A 8.15 Protokollierung

(nach ISO/IEC 27001:2022 und ISO/IEC 27002:2022)

Protokollierung (Logging) ist eine wesentliche Maßnahme zur Erkennung, Analyse und Aufklärung von sicherheitsrelevanten Ereignissen. Ohne geeignete Protokolle können Angriffe, Fehlkonfigurationen oder Missbrauch von Systemen unentdeckt bleiben oder nicht nachvollzogen werden. Dieses Control stellt sicher, dass relevante Ereignisse protokolliert, geschützt und ausgewertet werden.

Zweck des Controls

A 8.15 soll gewährleisten, dass sicherheitsrelevante Aktivitäten in Informationsverarbeitungssystemen nachvollziehbar sind. Ziel ist es, die Erkennung von Sicherheitsvorfällen zu ermöglichen, Ursachen zu analysieren, Verantwortlichkeiten festzustellen und die Wirksamkeit von Sicherheitsmaßnahmen zu überprüfen.

Anforderungen und Maßnahmen

1. Festlegung von Protokollierungsanforderungen

Organisationen müssen definieren, welche Ereignisse zu protokollieren sind, insbesondere:

  • Anmelde- und Authentifizierungsereignisse
  • Zugriffe auf Informationen und Systeme
  • Änderungen an Konfigurationen oder Berechtigungen
  • administrative und privilegierte Tätigkeiten
  • sicherheitsrelevante Systemereignisse

Die Anforderungen müssen dokumentiert und risikoorientiert festgelegt werden.

2. Umfang und Granularität der Protokollierung

Der Umfang der Protokollierung muss angemessen sein:

  • ausreichende Detailtiefe zur Nachvollziehbarkeit
  • Vermeidung unnötiger oder übermäßiger Daten
  • Berücksichtigung von Leistungs- und Speicheraspekten
  • Abgleich mit Datenschutz- und Compliance-Anforderungen

So wird ein ausgewogenes Logging erreicht.

3. Schutz von Protokolldaten

Protokolldaten müssen vor unbefugtem Zugriff und Manipulation geschützt werden:

  • Zugriffsbeschränkungen auf Protokolle
  • Schutz vor Veränderung oder Löschung
  • sichere Speicherung
  • Trennung von Protokollen und operativen Systemen, sofern sinnvoll

Dies stellt die Integrität der Protokolle sicher.

4. Zeitliche Synchronisation

Zeitstempel in Protokollen müssen zuverlässig sein:

  • Synchronisation der Systemzeiten
  • einheitliche Zeitquellen
  • konsistente Zeitangaben über Systeme hinweg
  • Vermeidung von Abweichungen

So wird eine korrekte Ereignisabfolge ermöglicht.

5. Aufbewahrung und Löschung von Protokollen

Die Aufbewahrung von Protokolldaten muss geregelt sein:

  • Festlegung von Aufbewahrungsfristen
  • Berücksichtigung rechtlicher und regulatorischer Vorgaben
  • sichere Archivierung
  • fristgerechte Löschung

Dies unterstützt Datenschutz und Compliance.

6. Auswertung und Überwachung der Protokolle

Protokolle müssen regelmäßig ausgewertet werden:

  • manuelle oder automatisierte Auswertung
  • Erkennung ungewöhnlicher oder verdächtiger Aktivitäten
  • Definition von Alarm- und Eskalationsmechanismen
  • Integration in Incident-Management-Prozesse

So werden Sicherheitsvorfälle frühzeitig erkannt.

7. Umgang mit Protokollen bei Vorfällen

Bei Sicherheitsvorfällen müssen Protokolle gezielt genutzt werden:

  • Sicherstellung der Verfügbarkeit relevanter Protokolle
  • Analyse zur Ursachenfeststellung
  • Unterstützung forensischer Untersuchungen
  • Schutz der Protokolle als Beweismittel

Dies erhöht die Reaktionsfähigkeit.

8. Dokumentation und kontinuierliche Verbesserung

Protokollierungsprozesse müssen dokumentiert und überprüft werden:

  • Beschreibung der Protokollierungsanforderungen
  • Verantwortlichkeiten für Betrieb und Auswertung
  • regelmäßige Überprüfung der Wirksamkeit
  • Anpassung an neue Risiken oder Systeme

So bleibt die Protokollierung wirksam und aktuell.

Zusammenfassung

A 8.15 fordert, dass Organisationen sicherheitsrelevante Ereignisse systematisch protokollieren, schützen und auswerten. Durch klar definierte Protokollierungsanforderungen, angemessene Granularität, Schutz der Protokolldaten, regelmäßige Auswertung sowie Integration in Incident-Management-Prozesse wird sichergestellt, dass Sicherheitsereignisse nachvollziehbar sind und wirksam behandelt werden können. Das Control ist ein zentraler Bestandteil der technischen Sicherheitsmaßnahmen im Informationssicherheitsmanagementsystem.

Auditor prüft die Nachweis-Checkliste im ISO-27001-Audit
A 8.15 · in der Praxis

Was der Auditor hier sehen will

Vier Fragen, die im Zertifizierungsaudit zu A 8.15 tatsächlich gestellt werden – und woran sie sich entscheiden.

„Was protokollieren Sie – und was bewusst nicht?“
Anmeldungen, Änderungen, privilegierte Zugriffe, Fehler: Der Umfang muss festgelegt und begründet sein.
„Wie lange bewahren Sie Protokolle auf?“
Zu kurz, und ein spät entdeckter Vorfall ist nicht aufklärbar. Zu lang, und der Datenschutz meldet sich.
„Wie sind Protokolle vor Veränderung geschützt?“
Wer Administratorrechte hat, darf die eigenen Spuren nicht löschen können – das ist der Kern des Controls.
„Sind personenbezogene Daten in Protokollen berücksichtigt?“
Protokollierung ist mitbestimmungspflichtig und datenschutzrelevant. Ohne Regelung entsteht ein zweites Problem.
Das Dokument dazu

A 8.15-1 Protokollierungs- und Überwachungsrichtlinie

Protokollierungskonzept mit Umfang, Aufbewahrung und Begründung · Schutz der Protokolle vor Veränderung · Datenschutz und Mitbestimmung. In der ISMS-Plattform entsteht das Dokument aus Ihren Angaben und ist mit dem Control und seinen Nachweisen verknüpft.

Sie arbeiten die Norm gerade durch? Alle Klauseln und Controls im Überblick