Angriffe früh erkennen: Logging und Monitoring

Montagmorgen, ein Administratorkonto meldet sich zu einer ungewöhnlichen Uhrzeit an, kurz darauf werden mehrere fehlgeschlagene Anmeldeversuche in einem anderen System sichtbar. Jede einzelne Meldung könnte harmlos sein. Zusammen ergeben sie jedoch ein Muster, das geprüft werden muss. Ohne brauchbares Logging und Monitoring bleibt dieses Muster oft unsichtbar, bis Mitarbeitende, Kundinnen oder Kunden die Folgen bemerken.

Warum Protokollierung ein Sicherheitswerkzeug ist

Protokolle, oft auch Logs genannt, dokumentieren Ereignisse in IT Systemen. Dazu gehören Anmeldungen, fehlgeschlagene Zugriffsversuche, Änderungen an Berechtigungen, Netzwerkverbindungen, Konfigurationsänderungen und Aktivitäten von Anwendungen. Sie beantworten im Ernstfall zentrale Fragen:

• Was ist passiert?
• Wann ist es passiert?
• Welches Konto, Gerät oder System war beteiligt?
• Von wo erfolgte der Zugriff?
• Welche Aktion wurde ausgeführt?
• War die Aktion erfolgreich oder wurde sie blockiert?

Ohne diese Informationen bleibt ein Sicherheitsvorfall häufig Spekulation. Ein gelöschtes Konto, eine manipulierte Firewallregel oder ein auffälliger Datenabfluss lassen sich dann nur schwer zeitlich einordnen und nachvollziehen.

Protokollierung ist deshalb nicht nur ein Thema für die Forensik nach einem Vorfall. Sie hilft dir, Angriffe bereits in einer frühen Phase zu erkennen. Viele Angriffe beginnen mit vergleichsweise unauffälligen Aktivitäten: wiederholten Anmeldeversuchen, der Nutzung eines bislang unbekannten Geräts oder einer ungewöhnlichen Änderung von Zugriffsrechten. Gute Überwachung erkennt solche Signale im Zusammenhang.

Wichtig ist auch die Betriebsfähigkeit: Logs unterstützen bei der Fehleranalyse, bei Audits und bei der Prüfung, ob technische Schutzmaßnahmen tatsächlich funktionieren. Wenn ein Backup fehlschlägt, ein Endpoint Schutz ausfällt oder ein kritisches System plötzlich keine Ereignisse mehr liefert, sollte das sichtbar werden.

Welche Datenquellen du mindestens berücksichtigen solltest

Nicht jede Anwendung muss jedes Detail unbegrenzt protokollieren. Entscheidend sind die Systeme, über die Identitäten, Zugriffe, privilegierte Änderungen und schützenswerte Daten laufen. Beginne mit wenigen, relevanten Quellen und erweitere schrittweise.

Datenquelle	Wichtige Ereignisse	Sicherheitsnutzen
Identitätsverwaltung und Verzeichnisdienste	Anmeldungen, MFA Ereignisse, Passwortänderungen, Rollenänderungen	Missbrauch von Konten und Berechtigungen erkennen
Server und Clients	Sicherheitsereignisse, neue Dienste, lokale Administrationsrechte, Schutzstatus	Auffällige Aktivitäten auf Endpunkten erkennen
Firewalls, VPN und Netzwerkkomponenten	Verbindungen, Regeländerungen, ungewöhnliche Datenmengen, fehlgeschlagene Zugriffe	Externe Zugriffe und auffällige Netzwerkkommunikation prüfen
E Mail und Kollaborationsdienste	Weiterleitungsregeln, Anmeldungen, Freigaben, verdächtige Nachrichten	Kontoübernahmen und Social Engineering Folgen erkennen
Geschäftsanwendungen und Datenbanken	Zugriffe auf sensible Daten, Exporte, Änderungen an Stammdaten	Missbrauch kritischer Anwendungen nachvollziehen
Sicherheitswerkzeuge	Warnungen, Erkennungsstatus, deaktivierte Schutzfunktionen	Schutzlücken und bestätigte Auffälligkeiten priorisieren

Besonders wertvoll sind Audit Logs aus Identitätsdiensten. Viele Sicherheitsvorfälle drehen sich nicht um spektakuläre technische Schwachstellen, sondern um missbrauchte Zugangsdaten. Wenn du Anmeldungen, MFA Registrierungen, Rollenänderungen und Änderungen an Wiederherstellungsoptionen nicht auswertest, fehlen dir zentrale Hinweise auf eine Kontoübernahme.

Achte zudem auf eine einheitliche Zeitbasis. Systeme sollten ihre Uhrzeit zuverlässig synchronisieren. Unterschiedliche Zeitstempel erschweren die Analyse erheblich, weil Ereignisse dann nicht korrekt in eine Reihenfolge gebracht werden können.

Was ein SIEM leistet und was nicht

Ein SIEM, also ein System zur zentralen Sammlung und Auswertung sicherheitsrelevanter Ereignisse, führt Daten aus verschiedenen Quellen zusammen. Es speichert, normalisiert und korreliert sie. Normalisieren bedeutet, dass unterschiedliche Logformate in eine einheitlich auswertbare Struktur überführt werden. Korrelation bedeutet, dass mehrere zusammenhängende Ereignisse als möglicher Sicherheitsfall erkannt werden können.

Ein praktisches Beispiel: Eine einzelne fehlgeschlagene Anmeldung ist meist kein Vorfall. Wenn danach eine erfolgreiche Anmeldung mit demselben Konto von einem bisher unbekannten Standort erfolgt, anschließend MFA Einstellungen geändert werden und ein Datenexport startet, ist die Kombination deutlich relevanter. Ein SIEM kann diese Ereigniskette sichtbar machen und eine priorisierte Warnung erzeugen.

Ein SIEM ersetzt jedoch keine Sicherheitsstrategie und keine fachkundige Bewertung. Es kann nur auswerten, was tatsächlich geliefert wird. Fehlende Datenquellen, unklare Zuständigkeiten und schlecht gepflegte Regeln bleiben auch mit einer zentralen Plattform ein Problem.

Plane deshalb vor der Einführung oder Erweiterung eines SIEM diese Fragen:

• Welche schützenswerten Systeme und Daten haben Vorrang?
• Welche Logquellen liefern dafür belastbare Informationen?
• Wer bewertet Warnungen zu welchen Zeiten?
• Wie wird aus einer Warnung ein dokumentierter Incident?
• Wie lange müssen Daten verfügbar bleiben?
• Wer darf auf Protokolldaten zugreifen?

Logs enthalten oft personenbezogene oder vertrauliche Informationen. Definiere deshalb Zugriffsrechte nach dem Prinzip Least Privilege. Kläre Aufbewahrung, Zweckbindung und Datenschutz mit den zuständigen Stellen. Diese Hinweise sind eine allgemeine Einordnung und keine Rechtsberatung.

Sinnvolle Alarme statt dauerhafter Alarmmüdigkeit

Ein überladenes Monitoring ist nicht automatisch ein gutes Monitoring. Wenn Teams täglich Hunderte Warnungen erhalten, werden relevante Hinweise übersehen oder aus Zeitmangel nur oberflächlich geprüft. Dieses Phänomen wird häufig als Alarmmüdigkeit bezeichnet.

Priorisiere Alarme danach, ob sie auf einen tatsächlichen Sicherheitsverlust, eine Vorbereitung darauf oder den Ausfall wichtiger Schutzmaßnahmen hindeuten. Gute Warnungen sind nachvollziehbar, enthalten Kontext und führen zu einer klaren ersten Prüfhandlung.

Sinnvolle Startpunkte sind beispielsweise:

• Mehrere fehlgeschlagene Anmeldungen mit anschließender erfolgreicher Anmeldung.
• Erfolgreiche Anmeldung eines privilegierten Kontos zu einer ungewöhnlichen Zeit oder von einem unbekannten Gerät.
• Vergabe oder Erweiterung administrativer Berechtigungen.
• Deaktivierung oder Manipulation von Endpoint Schutz, Protokollierung oder Backup Funktionen.
• Neue Weiterleitungsregeln in E Mail Postfächern, insbesondere bei privilegierten Konten.
• Auffällige Datenübertragungen aus sensiblen Bereichen.
• Änderungen an Firewall, VPN, DNS oder Identitätskonfigurationen.
• Neue lokale Administratorkonten oder unerwartete Dienstkonten.
• Ausfall wichtiger Logquellen oder ein plötzlicher Rückgang eingehender Ereignisse.

Nicht jede Abweichung ist ein Angriff. Ein Administrator kann nachts geplant arbeiten, eine Berechtigungsänderung kann Teil eines Tickets sein. Genau deshalb braucht jede Warnung Kontext: Ist die Person berechtigt? Gibt es ein Wartungsfenster? Wurde die Änderung genehmigt? Ist das betroffene System besonders kritisch?

Lege für wichtige Alarme zudem eindeutige Eskalationswege fest. Eine Warnung ohne verantwortliche Person und definierte Reaktion ist lediglich eine Nachricht in einem System.

Angriffsspuren richtig einordnen

Angriffe zeigen sich selten durch ein einzelnes eindeutiges Ereignis. Häufig entsteht ein belastbarer Verdacht erst durch die Abfolge mehrerer Spuren. Achte besonders auf Veränderungen bei Identitäten, Berechtigungen, Schutzfunktionen und Datenzugriffen.

Typische Muster können sein:

1. Ein Konto meldet sich wiederholt erfolglos an.
2. Danach gelingt eine Anmeldung unter ungewöhnlichen Bedingungen.
3. Das Konto erhält zusätzliche Rechte oder greift auf neue Systeme zu.
4. Es erfolgen Konfigurationsänderungen, Datenzugriffe oder ungewöhnliche Netzwerkverbindungen.
5. Später fehlen Logs oder Schutzfunktionen melden einen Ausfall.

Dieses Muster ist kein Beweis für einen Angriff, aber ein klarer Anlass zur Untersuchung. Prüfe zunächst die Fakten, sichere relevante Protokolldaten und dokumentiere deine Bewertung. Vermeide vorschnelle Eingriffe, die Spuren zerstören könnten. Wenn ein Risiko für sensible Daten oder den Geschäftsbetrieb besteht, folge dem etablierten Incident Response Prozess und ziehe bei Bedarf spezialisierte Unterstützung hinzu.

Sicherheitstests und Penetrationstests sind davon klar zu unterscheiden. Sie dürfen nur mit ausdrücklicher schriftlicher Beauftragung, einem definierten Scope und abgestimmten Regeln durchgeführt werden. Ohne Auftrag Systeme oder Konten zu prüfen, ist unzulässig und kann strafbar sein.

So reduzierst du Rauschen dauerhaft

Die Qualität eines Monitorings entsteht nicht bei der ersten Konfiguration, sondern im laufenden Betrieb. Prüfe regelmäßig, welche Warnungen tatsächlich zu relevanten Untersuchungen geführt haben. Regeln mit vielen harmlosen Treffern brauchen mehr Kontext, angepasste Schwellenwerte oder eine gezielte Ausnahme.

Dabei helfen diese Maßnahmen:

• Ordne Systeme und Konten nach Kritikalität, damit Warnungen zu privilegierten Identitäten und sensiblen Daten Vorrang erhalten.
• Pflege bekannte Wartungsfenster, genehmigte Administrationskonten und erwartete technische Änderungen.
• Ergänze Warnungen um Kontext wie Gerätekennung, Standort, betroffene Berechtigung und zugehörige Tickets.
• Prüfe regelmäßig, ob alle wichtigen Datenquellen noch Ereignisse liefern.
• Teste Eskalationswege und Zuständigkeiten anhand realistischer, defensiver Szenarien.
• Dokumentiere Entscheidungen, damit nachvollziehbar bleibt, warum eine Warnung geschlossen oder weitergegeben wurde.
• Überprüfe Regeln nach Änderungen an Infrastruktur, Cloud Diensten oder Identitätsverwaltung.

Passende IT Security Seminare und Termine findest du bei uns auf cmt.de.

Checkliste für einen belastbaren Einstieg

Wenn du Logging und Monitoring neu strukturierst, arbeite diese Punkte nacheinander ab:

• Kritische Systeme, Daten und privilegierte Konten identifizieren.
• Verantwortliche für Überwachung, Bewertung und Eskalation benennen.
• Zentrale Protokollierung für Identitätsdienste, Endpunkte, Netzwerk und Cloud Dienste aufbauen.
• Zeit synchronisieren und die Vollständigkeit eingehender Logs überwachen.
• Wenige, aber relevante Alarme zu Kontoübernahmen, Berechtigungen, Schutzstatus und Konfigurationsänderungen definieren.
• Warnungen mit Kritikalität, Kontext und klaren Reaktionsschritten versehen.
• Zugriffe auf Protokolldaten nach Least Privilege beschränken.
• Alarmregeln, Aufbewahrung und Zuständigkeiten regelmäßig überprüfen.

Wirksames Monitoring bedeutet nicht, alles zu beobachten und jede Abweichung zu alarmieren. Es bedeutet, die richtigen Signale aus den richtigen Quellen so zusammenzuführen, dass du schnell und begründet handeln kannst.