Die meisten KMU merken erst nach dem Vorfall, dass sie keine Logs haben. Genau dann bleiben Fragen wie „Wer hat sich um 3 Uhr nachts angemeldet?" und „Wie sind sie reingekommen?" ohne Antwort. Und das heißt auch, dass du nicht weißt, ob das Loch wirklich geschlossen ist.
„Log-Management" klingt nach etwas für Großkonzerne mit Security-Team. Das ist eine Falle. Ein SIEM für 200.000 im Jahr passt tatsächlich nicht in eine 30-Personen-Firma, aber das heißt nicht, dass Logs es nicht tun. Zwischen „wir zeichnen nichts auf" und „wir betreiben ein 24/7-SOC" liegt eine riesige Grauzone, die die meisten KMU ignorieren, und das ist der Fehler, der immer im schlechtesten Moment auffliegt.
Wozu überhaupt Logs
Drei Szenarien, die wir immer wieder sehen.
Erstens: Ransomware-Angriff. Du zahlst oder baust aus dem Backup wieder auf, aber du weißt nicht, wie sie reingekommen sind. Du gehst mit demselben Loch wieder produktiv, nur hat der Angreifer jetzt schon eine Karte deines Netzwerks. Bei einem unserer Kunden — eine 22-köpfige Druckerei — stellte sich nach dem Angriff heraus, dass Windows nur 48 Stunden Logs behalten hatte, der Vorfall aber 11 Tage zuvor begann. Wir haben nie erfahren, wie sie reinkamen. Wir haben alles geändert, was ging, und gehofft.
Zweitens: Ein Ex-Mitarbeiter. Du entlässt jemanden, der Zugriff auf den Kundenordner hatte. Drei Monate später ruft ein Kunde an: ein Wettbewerber hat ihm ein Angebot geschickt, das eure Preise auf den Cent kennt. Ohne Datei-Zugriffslogs kannst du nichts beweisen. In einem 12-köpfigen Buchhaltungsbüro haben wir einfaches Zugriffs-Logging auf Netzlaufwerken aktiviert und innerhalb eines Monats festgestellt, dass ein ehemaliger externer Buchhalter noch ein aktives Login hatte und regelmäßig Daten von drei Mandanten abzog.
Drittens: Eine Kundenreklamation, die vor Gericht landet. Der Kunde behauptet, er habe die Bestellung nie bestätigt. Ohne Logs aus ERP und Angebotssystem kannst du nicht zeigen, wann und von welcher IP die Bestellung bestätigt wurde.
Logs sind keine „Sicherheitsparanoia". Sie sind dein Gedächtnis, wenn sich sonst niemand erinnert.
Das Minimum, das sich lohnt
Nicht alles. Wer „alles" sammelt, findet am Ende nichts. Setz ein Minimum, sorge dafür, dass es funktioniert, und erweitere später.
- Systemanmeldungen — wer hat sich angemeldet, wann, woher (IP), erfolgreich oder nicht. Windows, ERP, E-Mail, VPN, das Admin-Panel des Hostings. Fehlgeschlagene Loginversuche sind dein Frühwarnsignal — Brute Force sieht seit zehn Jahren gleich aus.
- Änderungen an Rechten und Konten — wer hat wem Zugriff gegeben, wer hat eine Rolle im ERP geändert, wann tauchte ein neues Admin-Konto auf. Ein neues Admin-Konto, das niemand kennt, ist einer der ersten Schritte nach einem Einbruch.
- Zugriffe auf sensible Ressourcen — der Vertragsordner, das Kundenverzeichnis im ERP, Datenbank-Exporte. Du musst nicht wissen, wer jede Datei geöffnet hat, aber ein Massen-Download (500 Dateien in 3 Minuten) sollte eine Spur hinterlassen.
- Endpoint-Ereignisse — Antivirus/EDR, blockierte exe-Dateien, deaktivierter Schutz, eingesteckter USB-Stick. Windows Defender loggt das standardmäßig, es sammelt nur niemand ein.
- Backup-Ergebnisse — was erfolgreich lief, was fehlschlug, wann die Wiederherstellung zuletzt getestet wurde. Meistens das am leichtesten hinzuzufügende Log — und das am häufigsten ignorierte.
- Änderungen in kritischen Anwendungen — wer hat eine Preisliste geändert, wer hat eine Rechnung storniert, wer hat einen neuen Lieferanten als USt-verifiziert markiert.
E-Mail- und Browser-Logs lassen wir vorerst außen vor. Zu viel Rauschen, zu wenig Wert.
Wo aufbewahren
Regel Nummer eins: nicht auf dem Rechner, den du überwachst. Wenn ein Angreifer auf den Server kommt, ist das Erste, was er tut, die Logs zu löschen. Logs nur lokal auf dem Fileserver zu halten ist, als würdest du deine Einbruchskamera auf eine Festplatte aufzeichnen, die am Schreibtisch des Einbrechers steht.
Für die meisten KMU reicht eine Kombination aus drei Dingen. Ein einfacher Log-Kollektor im Haus (Wazuh, Graylog Open oder sogar Windows Event Forwarding auf einen dedizierten Server) sammelt Ereignisse von Endpoints und Servern an einer Stelle. Kritische Logs (Domain Controller, ERP, VPN) gehen zusätzlich an einen externen Ort — das kann ein simpler Cloud-Logging-Dienst sein oder auch ein verschlüsseltes Archiv auf externem S3. Ein Backup deiner Logs ist genauso wichtig wie ein Backup deiner Daten.
Aufbewahrung: 30 Tage „hot" (schnell durchsuchbar), 90 Tage „warm" (in Minuten verfügbar), 365 Tage „cold" (komprimiert, ggf. in der Cloud, innerhalb einer Stunde abrufbar). Für die meisten KMU reicht 30/90/365 und ist günstig. Verlangt deine Branche mehr (Medizin, Finanzwesen, Verarbeitung personenbezogener Daten oberhalb einer bestimmten Größe), prüfe es mit einem Juristen.
Worauf laufend achten
Sammeln ohne hinzusehen ist Theater. Aber in einer 30-Personen-Firma sitzt niemand rund um die Uhr an der Konsole. Setz also ein paar konkrete, laute Alarme — solche, die man nicht ignorieren darf, und nicht zu viele.
- Fehlgeschlagene Admin-Logins > 10 pro Stunde auf ein Konto.
- Ein neues Konto mit Admin-Rechten — sofort.
- Antivirus/EDR auf einem Endpoint deaktiviert.
- Backup zwei Tage in Folge fehlgeschlagen.
- VPN-Login aus einem Land, in dem du keine Geschäfte machst.
- Massen-Download aus dem Vertrags- oder Kundenordner.
Alles andere landet im Log und wartet auf den Moment, in dem es gebraucht wird. Versuch nicht, auf alles zu alarmieren — sonst hast du 200 E-Mails am Tag, die niemand liest.
Ein Umsetzungspfad fürs KMU
Kauf kein SIEM. Stell keinen SOC-Analysten ein. Fang mit drei Schritten an, die in einem Monat machbar sind.
Woche eins: aktiviere detailliertes Logging auf dem Domain Controller und Fileserver. Windows loggt standardmäßig weniger als du brauchst — das muss in den Audit-Richtlinien nachjustiert werden. Woche zwei: stell einen einfachen Kollektor auf (Wazuh im Container auf einem Server reicht zum Start) und schick Logs von deinen 3–5 kritischsten Quellen hinein. Woche drei: leg die sechs Alarme aus der obigen Liste an. Woche vier: mach eine Übung — simuliere einen fehlgeschlagenen Admin-Login, prüf, ob der Alarm ankam, ob das Log im Kollektor liegt und ob du es in unter 2 Minuten findest. Wenn ja — es funktioniert. Wenn nein — reparier es jetzt, nicht nach dem Vorfall.
Das ist kein SOC. Aber es ist der Unterschied zwischen „wir haben keine Ahnung, was passiert ist" und „wir sehen, wer wann mit welchem Konto reinkam". In den meisten Fällen reicht das, um das Loch zu schließen und ruhig zu schlafen.
Wenn du nicht weißt, mit welchem der sechs Alarme du in deiner Infrastruktur anfangen sollst, buche ein einstündiges Gespräch. Meistens gehen wir mit drei Dingen raus, die sich in einer Woche umsetzen lassen, und dem Namen der Person, die es umsetzt.
Logs sammelt man vor dem Vorfall. Nach dem Vorfall sammelt man nur noch Konsequenzen.