RiLi-Protokollierung

Mustervorlage: "Protokollierungsrichtlinie"

Einleitung

Protokollierung ist ein elementarer Baustein der Sicherheitsarchitektur. Die Protokollierung kann dazu beitragen sowohl technische Probleme als auch Sicherheitsvorfälle zu erkennen und im Nachgang zu analysieren. Dabei sind datenschutzrechtliche Aspekte zu Umfang, Speicherfristen und Auswertung der Protokolle zu berücksichtigen.

Protokollierung im Sinne dieser Richtlinie ist die systematische Erfassung und Dokumentation bestimmter Tätigkeiten oder Aktionen sowie ggf. deren Ereignisse, die für den ordnungsgemäßen, sicheren und datenschutzkonformen Betrieb von IT-Systemen und Verfahren relevant sind.

Geltungsbereich

Die Richtlinie Protokollierung gilt für alle IT-Systeme und Verfahren der Organisation.

Zielsetzung

Diese Richtlinie beschreibt grundlegenden Anforderungen und Regelungen zur Protokollierung in IT-Systemen und Verfahren sowie die Anforderungen an system- und verfahrensspezifische Protokollierungskonzepte unter Berücksichtigung der Anforderungen des Datenschutzes.

Die detaillierte Umsetzung der Richtlinie für spezifische IT-Systeme und Verfahren wird in nachgeordneten Protokollierungskonzepten und Anweisungen beschrieben.

Gesetzliche Rahmenbedingungen

Rechtliche Grundlage für dem Umfang der Protokollierung und deren Auswertung sind u.a.

• Grundsätze für die Verarbeitung personenbezogener Daten nach Art. 5 DSGVO.
• Anforderungen an die Protokollierung nach § 76 Bundesdatenschutzgesetz.
• Anforderungen nach dem Standard-Datenschutzmodell Baustein 43 - Protokollieren.
• ggf. weitere organisationsspezifische Rechtsgrundlagen.

Allgemeine Anforderungen zur Protokollierung

Die Protokollierung muss geplant und strukturiert erfolgen. Eine wahllose Protokollierung kann schnell erhebliche Ressourcen binden und ist - bezogen auf personenbezogene Daten - auch nicht zulässig. Bei jeder Protokollierung sind sowohl grundsätzliche als auch system- und verfahrensspezifische Aspekte zu berücksichtigen.

Arten der Protokollierung

Manuelle Protokollierung

Eine manuelle Protokollierung kann offline (in Papierform) oder online (Office-Listen, Logbücher, Ticketsystem, ...) erfolgen. Beispiele für eine manuelle Protokollierung sind Besucherlisten für den Zutritt zu Gebäuden, IT-Logbücher für administrative Arbeiten oder Ticketsysteme für die Dokumentation von administrativer Tätigkeiten und die Bearbeitung von Aufträgen.

Technische Protokollierung

Technische Protokolle werden von IT-Systemen automatisiert erzeugt und enthalten Informationen über Abläufe und Betriebszustände von IT-Systemen.

Technische Protokolle enthalten im Wesentlichen Informationen über die Funktion und Verfügbarkeit von IT-Systemen und Diensten:

• Start und Stopp von IT-Systemen und Diensten
• Ressourcenbedarf von Systemen und Warnungen bei Überschreitung von Schwellenwerten
• Fehlermeldungen von Systemen und Diensten
• Informationen über einzelne Programmabläufe

Administrative Protokollierung

Administrative Protokolle enthalten Informationen über administrative Tätigkeiten oder Abläufe an/auf IT-Systemen. Diese Vorgänge oder Tätigkeiten erfordern in der Regel besondere / privilegierte Rechte auf dem IT-System.

Administrative Protokolle enthalten insbesondere Informationen über:

• Änderungen an der IT-Infrastruktur (z.B. Austausch von Hardwarekomponenten oder Änderung der Anbindung an Netzwerk- oder Speichersysteme)

• Installation oder Änderung von IT-Systemen (z.B. Installation oder Änderung von System- und Anwendungssoftware einschließlich Updates und Patches)
• Nutzung administrativer Accounts zur Änderung von Systemkonfigurationen oder Daten
• Anlegen oder Löschen von Benutzern auf Systemebene
• Änderung von Zugriffsrechten auf Systemebene
• Löschen von IT-Systemen oder Softwarekomponenten
• Durchführung von systemweiten Datensicherungen (Backup oder Restore)
• Sonstige privilegierte Aktionen zur Veränderung von Systemen oder Daten (z.B. zur Fehlerbehebung, Störungsbeseitigung oder zum Import/Export von Datenbeständen).
• Alle Aktivitäten mit administrativen Rechten unter Umgehung der verfahrensspezifischen Rollen- und Berechtigungsstrukturen.

Anwendungsprotokolle

Anwendungsprotokolle enthalten Aktionen innerhalb eines Verfahrens. Diese Protokolle sind insbesondere dann datenschutzrechtlich relevant, wenn in dem Verfahren personenbezogene Daten verarbeitet werden.

Anwendungsprotokolle enthalten insbesondere Informationen über:

• Einrichtung und Änderung von Benutzerrechten
• Erfassung, Änderung und Löschung von Daten
• Zugriff, Abfrage, Auswertung und Übertragung von Daten

Protokollierung sicherheitsrelevanter Ereignisse

Bei einer Protokollierung von sicherheitsrelevanten Ereignis handelt es sich um die Erfassung aller Ereignisse die die Sicherheits- oder Datenschutzziele eines IT-Systems oder Verfahrens gefährden könnten.

Sicherheitsrelevante Ereignisse sind insbesondere:

• Alle Zugriffe mit priveligierten Rechten
• Fehlgeschlagene Anmelde oder Zugriffsversuche
• Änderungen in Überwachungs- und Protokollierungseinstellungen (z.B. Größe des Protokollspeichers, Aktivierung/Deaktivierung der Protokollierung)
• Zugriff, Veränderung oder Löschung von Daten außerhalb der Berechtigungsstrukturen des Verfahrens.
• Zugriff, Veränderung oder Löschung von Protokollierungsdaten
• Aktivieren deaktivierter lokaler Konten (z.B. Gastzugänge)
• Einrichtung, Veränderung oder Löschung neuer Benutzeraccounts
• Änderung von Berechtigungen
• Ausfall oder Eingeschränkte Funktion von IT-Systemen oder Verfahren
• Eingabefehler (insb. in Webanwendungen)
• Sonstige system- oder dienstspezifische Sicherheitsereignisse

Speicherung von Protokolldaten

Die folgenden Regelungen sind organisationsspezifisch zu konkretisieren:

• Für die Protokollierung müssen stabile, einheitliche und durchsuchbare Datenformate verwendet werden, wobei Formate wie TXT, JSON, XML oder CSV in Betracht kommen.
• Enthalten die Protokolle personenbezogene oder sensible Daten, muss die Übertragung der Protokolldaten verschlüsselt erfolgen.
• Die Protokolldaten sind in geeigneter Weise vor unberechtigtem Zugriff und Manipulation zu schützen.
• Die Protokolldaten sind in das Datensicherungskonzept der Organisation zu integrieren. Aufbewahrungs- und Löschfristen sind zu beachten.

Umfang der Protokollierung

Der Umfang der Protokollierung muss sich an den Erfordernissen des Datenschutzes und dem Schutzbedarf der Informationen orientieren und im Protokollierungskonzept festgelegt werden.

Auswertung von Protokolldaten

Die Auswertung von Protokolldaten ist nur unter den folgenden Voraussetzungen zulässig:

• Bei der Auswertung von Protokolldaten müssen die geltenden Datenschutzbestimmungen eingehalten werden. Es muss sichergestellt sein, dass personenbezogene Daten nur ausgewertet werden, wenn dies rechtlich zulässig ist und die Daten angemessen geschützt werden.
• Bei der Auswertung von Protokolldaten, die personenbezogene Daten enthalten, ist das Vier-Augen-Prinzip anzuwenden.
• Die Auswertung von Protokolldaten darf nur zweckgebunden erfolgen. Diese Zweckbindung ist vorab festzulegen und im Protokollierungskonzept zu dokumentieren. Die Zweckbindung soll sicherstellen, dass nur die Daten ausgewertet werden, die zur Erfüllung des Zwecks tatsächlich erforderlich sind.
• Der Zugriff auf die Protokolldateien ist zu kontrollieren, um Missbrauch zu verhindern.

Quick Freeze

"Quick Freeze" bezeichnet die sofortige Sicherung von Protokolldaten, z.B. als Beweismittel für die Strafverfolgung. Die Protokolldaten werden vorübergehend unveränderbar gesichert (Anlassdatenspeicherung).

Ein Quick Freeze kann auch vor Vorliegen einer richterlichen Anordnung erfolgen. Eine Auswertung oder Übermittlung ist jedoch erst nach Vorliegen einer entsprechenden Anordnung zulässig.

Löschung von Protokolldaten

Für alle Protokolle ist im Protokollierungskonzept eine maximale Speicherdauer festzulegen. Alle Protokolldaten, die die Aufbewahrungsfrist überschreiten, sind (möglichst automatisiert) zu löschen.

Sofern nicht gesetzliche, vertragliche oder technische Regelungen eine Aufbewahrungsfrist vorsehen, sind die Protokolle zu löschen, sobald sie nicht mehr benötigt werden, spätestens jedoch nach sechs Monaten.

Protokolldaten, die im Rahmen eines Quick Freeze gesichert wurden, sind unverzüglich zu löschen, wenn ein ablehnender richterlicher Beschluss vorliegt oder die Daten auf richterliche Anordnung den Behörden übergeben wurden.

Anforderung an das Protokollierungskonzept

Für jede Anwendung ist ein spezifisches Protokollierungskonzept zu erstellen. Dies kann als eigenständiges Konzept oder als separates Kapitel im Betriebshandbuch des IT-Systems oder Verfahrens beschrieben werden.

Das Protokollierungskonzept muss mindestens folgende Angaben enthalten:

Geltungsbereich

Für welche IT-Systeme und/oder Verfahren gilt das Protokollierungskonzept.

Zweck der Protokollierung

Grundlagen der Protokollierung (z.B. gesetzliche, vertragliche oder technische Anforderungen).

Ziele der Protokollierung (z.B. technische Überwachung der Systeme, Überwachung administrativer Tätigkeiten im Rahmen einer Auftragsdatenverarbeitung, Überwachung von Verfahrensabläufen zur Sicherstellung der Datenintegrität)

Inhalt und Umfang

Was wird in welchem Detaillierungsgrad protokolliert?

Auswertung

Wie, wann und durch wem werden die Protokolle automatisiert oder manuell ausgewertet?

Wer hat Zugriff auf die Protokolle (ggf. Vier-Augen-Prinzip oder Pseudonymisierung/Anonymisierung erforderlich?)

Löschfristen

Wie lange dürfen welche Protokolldaten gespeichert werden? Wie und durch wem werden sie gelöscht?

Rollen und Berechtigungskonzept

Wer hat welchen Zugriff auf die Protokolldaten? (ggf. Berücksichtigung des Vier-Augen-Prinzips)

Verantwortlichkeiten für die Kontrolle der Ordnungsmäßigkeit

Wer ist verantwortlich für die Kontrolle im Umgang mit Protokolldaten (Revisionsprozess)?

Inkrafttreten

Diese Richtlinie tritt zum 01.01.2222 in Kraft.

Freigegeben durch: Organisationsleitung

Ort, 01.12.2220,

Unterschrift, Name der Leitung