Cloud-Logs, die im Vorfall tatsächlich helfen
Die Spur vom Ereignis bis zur Reaktion nachvollziehen.
Der Prüfauftrag
Anbieterübergreifende Prüfhilfe für Cloud- und Security-Teams. Erfassungsumfang, Datenquellen, Kosten und Verfügbarkeit sind je Dienst, Konfiguration und Vertrag gesondert zu prüfen.
Am Ende hast du:Eine dokumentierte Erstprüfung mit nachvollziehbaren Nachweisen und einer Liste offener Maßnahmen.
Beweisen statt vermuten.
Ein harmloses autorisiertes Testereignis auslösen und Quelle, Übertragung, Suchbarkeit und gegebenenfalls Alarmierung getrennt nachweisen.
Status, Prüfbereich und Notizen bleiben in diesem Browser. Keine Übertragung an MauriSec. Ohne Speicherung geht der Stand beim Verlassen verloren; gespeicherte Daten bleiben bis zu deiner Löschung. Keine Geheimnisse, Zugangsdaten oder fremden personenbezogenen Daten eintragen.
Relevante Vorfallsfragen und Verantwortliche festlegen: Anmeldung, Rechteänderung, Schlüsselerstellung, Konfigurationsänderung und Zugriff auf schützenswerte Daten.
So belegst du es: Priorisierte Erkennungsfälle mit benannter Datenquelle und Reaktionsweg.
Nachweis und nächsten Schritt notieren
Management-/Audit-Logs und erforderliche Datenzugriffslogs getrennt prüfen; nicht voraussetzen, dass alle Ereignisarten standardmäßig erfasst werden.
So belegst du es: Aktivierung, Geltungsbereich und Testereignis je kritischem Cloud-Dienst.
Nachweis und nächsten Schritt notieren
Alle relevanten Konten, Projekte, Regionen und Dienste in die zentrale Erfassung aufnehmen.
So belegst du es: Quelleninventar und Abgleich der erwarteten mit den tatsächlich eintreffenden Quellen.
Nachweis und nächsten Schritt notieren
Identität, Aktion, Ressource, Ergebnis, Zeitstempel und geeignete Korrelationsmerkmale erhalten; Zeitzonen und Zeitformat normalisieren.
So belegst du es: Durchgängig auswertbares Beispielereignis und überprüfte Zeitbasis.
Nachweis und nächsten Schritt notieren
Logs zentral gegen unbemerkte Änderung und Löschung schützen; Zugriff auf Suche, Export und Konfiguration nach Aufgaben begrenzen.
So belegst du es: Berechtigungstests, Aufbewahrungskonfiguration und Protokollierung von Änderungen am Logging.
Nachweis und nächsten Schritt notieren
Aufbewahrung nach Untersuchungsbedarf und Datenschutz festlegen; benötigte Ereignisse über den festgelegten Zeitraum tatsächlich wiederfinden können.
So belegst du es: Begründete Fristen, erfolgreiche historische Suche und getesteter Export.
Nachweis und nächsten Schritt notieren
Ausfall der Übertragung, ungewöhnlich lange Verzögerungen und deaktivierte Quellen erkennen und zuständigen Personen melden.
So belegst du es: Kontrollierter Ausfalltest und bestätigter Alarm für eine fehlende Quelle.
Nachweis und nächsten Schritt notieren
Erkennungsregeln mit ungefährlichen Testereignissen prüfen; Fehlalarme und nicht abgedeckte Varianten dokumentieren.
So belegst du es: Vom Ereignis über die Warnung bis zur Bearbeitung belegte Testkette.
Nachweis und nächsten Schritt notieren
Keine Passwörter, Access-Tokens oder unnötigen personenbezogenen Inhalte protokollieren; Fehlerpfade und Log-Injection berücksichtigen.
So belegst du es: Stichprobenprüfung, Maskierung und Test ungültiger beziehungsweise manipulierter Eingaben.
Nachweis und nächsten Schritt notieren
Deine nächste Arbeit.
Beginne mit den vorrangigen Punkten. Markierte Lücken erscheinen hier mit deinen nächsten Schritten.
Grenzen und Primärquellen
Ein aktivierter Log-Dienst ist noch keine vollständige Sichtbarkeit oder wirksame Erkennung. Retention und Datentypen können kosten- oder lizenzabhängig sein. Automatische Sperren brauchen einen getesteten und zur Umgebung passenden Ablauf. Diese Checkliste legt keine pauschale gesetzliche Aufbewahrungsfrist fest.
Gemeinsame ACSC/CISA/NSA-Behördenempfehlung: Event Logging and Threat Detection ↗OWASP: Logging Cheat Sheet ↗CISA: Veröffentlichung der gemeinsamen Logging-Empfehlung ↗Prüfbericht / Selbsteinschätzung
Cloud-Logs, die im Vorfall tatsächlich helfen · v2026.11 · 10.11.2026 ·
0/9 bearbeitet · 0 Lücken. Keine unabhängige Prüfung oder Zertifizierung.
1. Relevante Vorfallsfragen und Verantwortliche festlegen: Anmeldung, Rechteänderung, Schlüsselerstellung, Konfigurationsänderung und Zugriff auf schützenswerte Daten.
Status: Offen
Erwarteter Nachweis: Priorisierte Erkennungsfälle mit benannter Datenquelle und Reaktionsweg.
Eigene Referenz: Nicht hinterlegt
Nächster Schritt: Nicht hinterlegt
2. Management-/Audit-Logs und erforderliche Datenzugriffslogs getrennt prüfen; nicht voraussetzen, dass alle Ereignisarten standardmäßig erfasst werden.
Status: Offen
Erwarteter Nachweis: Aktivierung, Geltungsbereich und Testereignis je kritischem Cloud-Dienst.
Eigene Referenz: Nicht hinterlegt
Nächster Schritt: Nicht hinterlegt
3. Alle relevanten Konten, Projekte, Regionen und Dienste in die zentrale Erfassung aufnehmen.
Status: Offen
Erwarteter Nachweis: Quelleninventar und Abgleich der erwarteten mit den tatsächlich eintreffenden Quellen.
Eigene Referenz: Nicht hinterlegt
Nächster Schritt: Nicht hinterlegt
4. Identität, Aktion, Ressource, Ergebnis, Zeitstempel und geeignete Korrelationsmerkmale erhalten; Zeitzonen und Zeitformat normalisieren.
Status: Offen
Erwarteter Nachweis: Durchgängig auswertbares Beispielereignis und überprüfte Zeitbasis.
Eigene Referenz: Nicht hinterlegt
Nächster Schritt: Nicht hinterlegt
5. Logs zentral gegen unbemerkte Änderung und Löschung schützen; Zugriff auf Suche, Export und Konfiguration nach Aufgaben begrenzen.
Status: Offen
Erwarteter Nachweis: Berechtigungstests, Aufbewahrungskonfiguration und Protokollierung von Änderungen am Logging.
Eigene Referenz: Nicht hinterlegt
Nächster Schritt: Nicht hinterlegt
6. Aufbewahrung nach Untersuchungsbedarf und Datenschutz festlegen; benötigte Ereignisse über den festgelegten Zeitraum tatsächlich wiederfinden können.
Status: Offen
Erwarteter Nachweis: Begründete Fristen, erfolgreiche historische Suche und getesteter Export.
Eigene Referenz: Nicht hinterlegt
Nächster Schritt: Nicht hinterlegt
7. Ausfall der Übertragung, ungewöhnlich lange Verzögerungen und deaktivierte Quellen erkennen und zuständigen Personen melden.
Status: Offen
Erwarteter Nachweis: Kontrollierter Ausfalltest und bestätigter Alarm für eine fehlende Quelle.
Eigene Referenz: Nicht hinterlegt
Nächster Schritt: Nicht hinterlegt
8. Erkennungsregeln mit ungefährlichen Testereignissen prüfen; Fehlalarme und nicht abgedeckte Varianten dokumentieren.
Status: Offen
Erwarteter Nachweis: Vom Ereignis über die Warnung bis zur Bearbeitung belegte Testkette.
Eigene Referenz: Nicht hinterlegt
Nächster Schritt: Nicht hinterlegt
9. Keine Passwörter, Access-Tokens oder unnötigen personenbezogenen Inhalte protokollieren; Fehlerpfade und Log-Injection berücksichtigen.
Status: Offen
Erwarteter Nachweis: Stichprobenprüfung, Maskierung und Test ungültiger beziehungsweise manipulierter Eingaben.
Eigene Referenz: Nicht hinterlegt
Nächster Schritt: Nicht hinterlegt
Ein aktivierter Log-Dienst ist noch keine vollständige Sichtbarkeit oder wirksame Erkennung. Retention und Datentypen können kosten- oder lizenzabhängig sein. Automatische Sperren brauchen einen getesteten und zur Umgebung passenden Ablauf. Diese Checkliste legt keine pauschale gesetzliche Aufbewahrungsfrist fest.