Ein Ereignisprotokoll wird im Computerbereich über eine Logdatei dargestellt. Es handelt sich in der Regel um automatische Ereignisprotokolle von bestimmten Aktionen und Prozessen eines Computersystems. Die automatisierte Prozess-Kontrolle spielt hierbei eine wichtige Rolle. Hierbei werden generell alle Aktionen, die sowohl hardwaretechnisch als auch softwaretechnisch ablaufen, mitgeschrieben und für eine nachträgliche Fehleruntersuchung analysiert. Ein sehr bekanntes Beispiel für ein Ereignisprotokoll ist beispielsweise beim Flugschreiber von Flugzeugen zu finden, die kontinuierlich sämtliche Ereignisse protokollieren.

Definition und Nutzen: Ein Ereignisprotokoll (Event-Log, Logdatei) ist eine fortlaufende, manipulationsarme Aufzeichnung von System-, Anwendungs- und Sicherheitsereignissen. Es dient der Diagnose, Überwachung, Forensik, Compliance sowie der Qualitätssicherung. Je präziser und strukturierter protokolliert wird, desto schneller lassen sich Ursachen für Störungen, Performanceprobleme oder Dateninkonsistenzen eingrenzen und beheben.

• Typische Einsatzfelder: Fehleranalyse, Auslastungs- und Performance-Monitoring, Sicherheits- und Zugriffsüberwachung, Nachweis- und Auditpflichten, Wiederanlauf nach Störungen.
• Formate: Textbasiert (z. B. Zeilenformat), binär/strukturiert (z. B. .evtx), semantisch angereichert (z. B. JSON, Schlüssel-Wert-Paare).
• Qualitätsmerkmale: Vollständigkeit, Zeitstempel-Genauigkeit (NTP), Plausibilität, Integrität, Retention/Archivierung und Revisionssicherheit.

Ereignisprotokoll und Logfile

Bei vielen Datenbankanwendungen werden in einem Logfile sämtliche Transaktionen festgehalten. Bei einem Systemabsturz kann auf diese Weise leicht festgestellt werden, bis wann die Daten ordnungsgemäß im System aufgenommen werden konnten. Die erneute Eingabe umfangreicher Datenbestände kann hierdurch eingeschränkt werden. Ebenfalls teilt eine Logdatei über ihr Ereignisprotokoll dem Anwender mit, warum der Fehler im Programm aufgetreten ist. So werden jedem Ereignisprotokoll auch gleich die passenden Fehlermeldungen und Codes mitgeteilt.

Auch die bekannten Windows-Betriebssysteme verwenden ein Ereignisprotokoll. Hier ist damit eine zentrale Sammlung mehrerer Logfiles gemeint, die von dem Systemdienst verwaltet werden. Der jeweilige Prozess wird unter Windows aus der Eventlog DLL geladen. Zu den Ereignisprotokollen gehören beispielsweise fehlgeschlagene Anmeldeversuche, Warnhinweise des Betriebssystems, Fehler in der Systemsicherheit, abgebrochene Netzwerkverbindungen oder Fehler, die beim Einrichten von Treibern und neuen Programmen gemeldet werden. In den allermeisten Fällen wird nicht nur das Ereignis selbst gespeichert, sondern auch die Ereignisquelle, sowie Datum und Uhrzeit.

In der Regel werden Ereignisprotokolle unterschieden, die von Anwendungsprogrammen kommen, systembedingte Ereignisse des Betriebssystems und sicherheitsrelevante Ereignisse. Mithilfe des Programms eventwr.exe kann man sich jedes Ereignisprotokoll anzeigen lassen. Auf einem Rechner werden die meisten Protokolldateien geschrieben, ohne dass der Benutzer etwas hiervon mitbekommt. Die Protokollierung geschieht im Hintergrund und beeinträchtigt meist auch die laufende Arbeit nicht.

Aktuelle Ergänzung für moderne Systeme: In neuen Windows-Versionen (z. B. Windows 10, Windows 11 und Windows Server ab 2016 bis 2022) erfolgt die Anzeige und Analyse typischerweise über die Ereignisanzeige, aufrufbar über die Management-Konsole (eventvwr.msc bzw. eventvwr.exe). Neben den klassischen Kanälen Application, System, Security, Setup und Forwarded Events existieren zahlreiche anwendungsspezifische Kanäle. Für tiefergehende Analysen kommen Event Tracing for Windows (ETW) und erweiterte Sensoren wie Sysmon zum Einsatz. PowerShell-Befehle (z. B. Get-WinEvent) erlauben performantes Filtern, Korrelationen und Export.

• Wichtige Felder eines Ereignisses: Zeitstempel, Quelle/Provider, Ereignis-ID, Ebene (Information, Warnung, Fehler, kritisch), Computername, Benutzer/SID, Prozess-ID, Korrelations-/Aktivitäts-ID, Aufgaben-/Kategorie, Nachricht und optionale Daten.
• Best Practices: Uhrzeiten synchronisieren (NTP), Loggrößen steuern, Auto-Archivierung, Signierung/Hashing, zentrale Sammelstelle (z. B. Event Forwarding), Schwellenwerte und Alarme definieren.

Datenbanken und Dateisysteme: Bei relationalen Datenbanken kommen Write-Ahead-Logs (WAL) und Redo-/Undo-Logs zum Einsatz, um ACID-Eigenschaften zu gewährleisten. Damit lassen sich Transaktionen nach Abstürzen gezielt zurückrollen oder wiederholen. Journaling-Dateisysteme (z. B. NTFS mit USN-Journal, ext4-Journal) protokollieren Metadaten- und teils Nutzdaten-Änderungen, um die Konsistenz zu sichern.

Beispiel für ein sicherheitsrelevantes Ereignisprotokoll

Sicherheit spielt im PC-Bereich eine große Rolle. Ein Beispiel für ein wichtiges Ereignisprotokoll stellt jeder Virusscanner zur Verfügung. So werden hier nicht nur die täglichen Aktualisierungen protokolliert, sondern im Falle eines Virenbefalls auch der Virustyp. Nicht immer lassen sich die Logdateien auf dem Rechner wiederfinden. Meistens werden sie jedoch in dem gleichen Ordner gespeichert, in dem auch das Virusscann-Programm abgelegt ist.

Zum Auslesen genügt in der Regel ein einfacher Texteditor, da die Protokolleinträge zeilenweise und ohne Formatierung erfolgen. Anhand der Angabe des Datums und der Uhrzeit kann genau festgestellt werden, wann ein bestimmtes Ereignis eingetreten ist. Einige Virenschutzprogramme stellen die Protokolldatei auch über einen speziellen Menüpunkt zur Abfrage zur Verfügung. Ebenso bieten viele Hersteller die Möglichkeit, die Protokolldatei und die Ereignisprotokolle vollständig zu löschen. Sie werden jedoch meistens automatisch wieder neu generiert.

Moderne Sicherheits-Logs: Aktuelle Sicherheitslösungen (z. B. Endpoint-Schutz, EDR/XDR, Firewalls) protokollieren detaillierte Telemetriedaten. Dazu zählen Erkennungsereignisse, Antriebs-/Signatur-Updates, Quarantäne- und Bereinigungsaktionen, Exploit-Abwehr, Web-/Mail-Schutz, Ransomware-Blockaden sowie Integritäts- und Tamper-Events.

• Typische Felder: Bedrohungsname, Signatur-/Engine-Version, Hash-Werte, Pfad/Datei, Prozesskette (Parent/Child), Benutzerkontext, Netzwerkendpunkte (IP/Port), Reaktionsmaßnahme, Schweregrad und Korrelationen.
• Aufbewahrung und Integrität: Ereignisse sollten revisionssicher archiviert, vor unbefugten Änderungen geschützt (WORM, Signaturen) und regelmäßig ausgewertet werden. Zentrale Konsolidierung erleichtert die Korrelation über mehrere Systeme hinweg.
• Praxis-Tipp: Alarme mit klaren Playbooks verknüpfen, um Reaktionszeiten zu verkürzen, und Verdachtsfälle mit forensischen Artefakten (z. B. Timeline, Prefetch, Shimcache, Event-IDs) absichern.

Ereignisprotokolle auf Webservern

Logfiles auf Internetservern werden gerne von Online-Anbietern genutzt, um die Häufigkeit des eigenen Seitenaufrufs zu analysieren. Hierüber können Nutzen und Beliebtheit von Onlineshops herausgefiltert werden. Für viele Webseitenhersteller bieten die Provider entsprechende Tools an, mit denen beispielsweise der Besuch einer Webseite gezählt werden kann. Sehr verbreitet ist die Versendung von Cookies an die Zielcomputer. Hierüber kann durch Speichern von Zählern, Seriennummern und auch IP-Adressen genau erfasst werden, wie oft ein bestimmter Rechner eine Webpräsenz aufruft. Auf diese Weise können Ereignisprotokolle über einen längeren Zeitraum geführt werden.

Diese Vorgehensweise ist jedoch nicht ganz unproblematisch. Gemäß § 15 des Telemediengesetzes dürfen die Dienstanbieter in Deutschland personenbezogene Benutzerdaten nur solange verwenden und speichern, soweit diese für die Abrechnung der Inanspruchnahme eines kostenpflichtigen Dienstes erforderlich sind. Ebenso dürfen diese Daten nur dann gespeichert und genutzt werden, wenn der Inhaber über die Speicherung aufgeklärt wurde und sich damit einverstanden erklärt hat. In einem Beispiel hat das Amtsgericht Berlin entschieden, dass IP-Adressen von Benutzern eines öffentlichen Internetportals nicht protokolliert werden dürfen, wenn diese ihre Einwilligung nicht dazu gegeben haben.

Technische Perspektive: Webserver protokollieren meist in Access-Logs (Zugriffe) und Error-Logs (Fehler). Übliche Formate sind das Common Log Format oder erweiterte Varianten. Einträge enthalten häufig:

• Client-Adresse (z. B. IP), Datum/Uhrzeit und Zeitzone
• HTTP-Methode, angeforderter Pfad/Query, Protokollversion
• Statuscode, übertragene Bytes
• Referrer und User-Agent
• Virtueller Host, Upstream-Informationen und Latenzzeiten (je nach Konfiguration)

Analyse und Betrieb: Logrotation, Komprimierung und Archivierung verhindern Vollaufen von Speichern, während Auswertungen Muster sichtbar machen (z. B. Lastspitzen, Bot-Traffic, fehlerhafte Links, 404/500-Fehler, DDoS-Indikatoren). Für unternehmensweite Auswertung sind Normalisierung, Korrelation und Dashboards hilfreich.

Rechtliche Einordnung (aktualisiert): Neben historischen Vorgaben des TMG sind heute insbesondere die Datenschutz-Grundverordnung und das Telekommunikation-Telemedien-Datenschutz-Gesetz maßgeblich. Dynamische IP-Adressen können personenbezogene Daten sein. Eine Verarbeitung kann je nach Zweck auf berechtigtes Interesse (z. B. IT-Sicherheit, Missbrauchserkennung) gestützt werden; für Tracking oder Marketing sind in der Regel Einwilligungen erforderlich. Empfehlenswert sind transparente Hinweise, Speicherbegrenzung, Anonymisierung/Pseudonymisierung und klare Löschkonzepte. Dieser Abschnitt stellt keine Rechtsberatung dar.

• Empfohlene Maßnahmen: IP-Anonymisierung, begrenzte Aufbewahrungsfristen, rollenbasierter Zugriff, Protokollierung von Administrationszugriffen, nachvollziehbare Löschroutinen.
• Sicherheit: Integritätsschutz für Logdateien, getrennte Konten für Betrieb und Auswertung, Härtung des Webservers, regelmäßige Auswertung auf Anomalien.

Häufige Fragen und Antworten