6 Die Aufbewahrung von Sicherheitslogs ist eine Frage, die jedes SOC früher oder später formal beantworten muss, meist nachdem ein Auditor nachfragt oder einer Vorfallsuntersuchung die Historie ausgeht. Werden Logs zu kurz aufbewahrt, können Ermittler nicht rekonstruieren, wie ein Angreifer eingedrungen ist. Wird alles für immer aufbewahrt, steigen die Speicherkosten, und personenbezogene Daten sammeln sich über das hinaus an, was das Datenschutzrecht erlaubt. Die richtige Antwort verbindet regulatorische Mindestanforderungen, die Realität der Verweildauer von Angreifern und ein Speicherdesign, das lange Aufbewahrung bezahlbar macht. Dieser Artikel behandelt die wichtigsten Anforderungen an die Aufbewahrung von Sicherheitslogs, wie Organisationen die Aufbewahrung nach Logtyp und Speicherstufe strukturieren und was das für SIEM- und Speicherarchitektur bedeutet. Er dient der allgemeinen Information und ist keine Rechtsberatung. Was in ein zentrales Repository gehört, erklärt der Beitrag Was ist ein Security Data Lake?. Anforderungen aus Regulierung und Frameworks Die Anforderungen variieren je nach Branche und Rechtsraum. Gängige Beispiele: PCI DSS. Version 4 des Payment Card Industry Data Security Standard verlangt, dass die Audit-Log-Historie mindestens 12 Monate aufbewahrt wird, wobei mindestens die letzten drei Monate sofort für Analysen verfügbar sein müssen (Anforderung 10.5.1). US-Bundesbehörden. Im Mai 2026 hat das OMB-Memorandum M-26-14 das Logging-Memorandum M-21-31 aus dem Jahr 2021 abgelöst. M-26-14 legt als Mindeststandard sechs Monate durchsuchbare Logdaten für das kontinuierliche Event-Monitoring und ein Jahr abrufbare Daten für Threat Hunting, Ermittlung, Reaktion und Forensik fest, gegenüber zwölf Monaten aktiver und achtzehn Monaten Cold-Storage-Aufbewahrung für priorisierte Logs unter M-21-31. HIPAA. Die Security Rule verlangt Audit-Kontrollen, die Aktivitäten in Systemen mit elektronischen geschützten Gesundheitsinformationen aufzeichnen und prüfen. HIPAA schreibt vor, bestimmte Compliance-Dokumentation sechs Jahre aufzubewahren, und viele Organisationen im Gesundheitswesen richten die Logaufbewahrung an diesem Zeitraum aus. Finanzmarktregulierung wie der Digital Operational Resilience Act (DORA) der EU verlangt IKT-Logging und -Monitoring als Teil des Risikomanagements, wobei die Aufbewahrung durch die Richtlinien des Instituts und die Erwartungen der Aufsicht bestimmt wird. Frameworks wie ISO 27001 und das NIST Cybersecurity Framework verlangen Logging und den Schutz von Logs, überlassen konkrete Fristen aber in der Regel der Organisation. Datenschutzgrenzen für die Aufbewahrung Sicherheitslogs enthalten oft personenbezogene Daten: Benutzernamen, IP-Adressen, E-Mail-Adressen, Gerätekennungen und Surfaktivitäten. Nach der DSGVO und vergleichbaren Gesetzen dürfen personenbezogene Daten nicht länger aufbewahrt werden, als für ihren Zweck erforderlich ist. Sicherheit ist ein legitimer Zweck, doch Organisationen sollten ihre Aufbewahrungsfristen begründen, den Zugriff beschränken und Logs löschen können, sobald sie nicht mehr benötigt werden. Das spricht für dokumentierte, belastbare Aufbewahrungspläne statt unbegrenzter Speicherung. Verweildauer: das operative Argument für längere Aufbewahrung Regulierung legt Mindestwerte fest, Ermittlungen bestimmen den praktischen Bedarf. Angreifer bleiben oft Wochen oder Monate in einer Umgebung, bevor sie entdeckt werden. Wird ein Vorfall entdeckt, benötigen Ermittler Logs bis zum ursprünglichen Eindringen. Decken die Logs nur 30 oder 90 Tage ab, ist der Beginn des Angriffs womöglich bereits verloren. Der scality.com-Blog behandelt das im Artikel über Ransomware-Verweildauer und Backup-Aufbewahrung. Dieselbe Logik gilt für Sicherheitslogs: Die Aufbewahrung sollte die Zeit, die bis zur Entdeckung einer Kompromittierung vergehen kann, mit Sicherheitsabstand übersteigen. Aufbewahrung nach Logtyp strukturieren Nicht alle Logs sind gleich wertvoll. Ein praxistauglicher Aufbewahrungsplan gruppiert Logs nach ihrem Wert für Ermittlungen und Compliance: Authentifizierungs- und Identitätslogs (Verzeichnisdienste, Single Sign-on, VPN): hoher Wert für Ermittlungen, oft am längsten aufbewahrt. Telemetrie aus Endpoint Detection and Response: hoher Wert, hohes Volumen. Netzwerksicherheitslogs (Firewall, Proxy, DNS, Intrusion Detection): hoher Wert, um das Ausmaß von Vorfällen einzugrenzen. Cloud-Audit-Logs (Aktivitäten auf der Steuerungsebene von Cloud-Plattformen): hoher Wert und unverzichtbar für Ermittlungen in der Cloud. Audit-Logs von Anwendungen und Datenbanken: Der Wert hängt von der Sensibilität des Systems ab. Ausführliche Betriebs- und Debug-Logs: geringerer Sicherheitswert, oft nur kurz aufbewahrt. Jede Gruppe erhält eine Aufbewahrungsfrist und eine Zuordnung zu einer Speicherstufe. Hot, Warm und Cold Tier Aufbewahrung bedeutet nicht, alles sofort durchsuchbar zu halten. Die meisten Organisationen nutzen Speicherstufen: Hot oder durchsuchbare Stufe: aktuelle Logs für Echtzeiterkennung und schnelle Suche, je nach Anforderungen oft drei bis zwölf Monate. Warm oder abrufbare Stufe: ältere Logs, die mit gewisser Verzögerung durchsucht oder bei Bedarf wiederhergestellt werden können. Archivstufe: Langzeitaufbewahrung für Compliance oder Legal Holds, selten abgerufen. Die Unterscheidung von PCI DSS zwischen zwölf Monaten Aufbewahrung und drei Monaten sofortiger Verfügbarkeit sowie die Unterscheidung der US-Bundesvorgaben zwischen aktiv durchsuchbaren und abrufbaren Daten spiegeln beide dieses Modell wider. Was die Aufbewahrung für die SIEM-Architektur bedeutet SIEM-Lizenz- und Speicherkosten skalieren oft mit Ingest und Aufbewahrung. Ein Jahr oder mehr an hochvolumigen Logs in einer klassischen SIEM-Installation vorzuhalten, kann teuer werden. Hilfreiche Architekturen: Entkoppelter Speicher: Das SIEM legt warme Daten auf Objektspeicher ab und hält nur einen lokalen Cache auf den Indexern, sodass die Aufbewahrung wachsen kann, ohne Rechenleistung hinzuzufügen. Security Data Lakes, die große Logmengen in offenen Formaten auf Objektspeicher ablegen und von mehreren Werkzeugen abgefragt werden können. Gestufte Aufbewahrung innerhalb des SIEM, bei der ältere Daten auf günstigeren Speicher verschoben werden und abrufbar bleiben. Objektspeicher steht im Zentrum aller drei Ansätze, weil er niedrige Kosten pro Terabyte, Skalierbarkeit und Unveränderlichkeit bietet. Aufbewahrte Logs schützen Aufbewahrung nützt nur, wenn die Logs erhalten bleiben. Angreifer versuchen häufig, Logs zu löschen oder zu manipulieren, um ihre Aktivitäten zu verschleiern. Zu den Schutzmaßnahmen gehören: Unveränderlichkeit gespeicherter Logs, damit sie vor Ablauf der Aufbewahrungsfrist weder verändert noch gelöscht werden können. Separate Zugangsdaten für den Logspeicher, getrennt von den Systemen, die Logs erzeugen. Integritätsprüfung, damit Manipulationen erkannt werden. Kopien außer Haus oder an mehreren Standorten, damit Logs Vorfälle auf Standortebene überstehen. Die Prinzipien erläutert der Beitrag Audit-Trail für Speicher. Löschung am Ende der Aufbewahrung Belastbares Löschen ist auch bei Sicherheitslogs wichtig. Läuft die Aufbewahrungsfrist ab, sollten Logs mit personenbezogenen Daten gelöscht werden, sofern kein Legal Hold greift. Automatisierte Lifecycle-Richtlinien auf Objektspeicher können Daten nach Zeitplan ablaufen lassen und dokumentieren, was entfernt wurde. Den Speicherbedarf abschätzen Bevor Sie sich auf einen Plan festlegen, schätzen Sie, was die Aufbewahrung kostet. Multiplizieren Sie den täglichen Ingest je Loggruppe mit ihrer Aufbewahrungsfrist, berücksichtigen Sie die Kompression, die Ihr SIEM oder Data Lake erreicht, und addieren Sie den Redundanz-Zuschlag der Speicherplattform. Die Ergebnisse überraschen Teams oft: Ausführliche Logs, die bei 30 Tagen harmlos wirken, können nach einem Jahr die Kapazität dominieren, während hochwertige Authentifizierungslogs ein moderates Volumen haben. Diese Übung führt meist zu kürzerer Aufbewahrung für weniger wertvolle Quellen und längerer Aufbewahrung für die Logs, auf die sich Ermittler tatsächlich stützen, was zugleich günstiger und nützlicher ist. Auch das Wachstum sollten Sie modellieren. Neue Datenquellen, mehr Endpoints und eine ausgeweitete Cloud-Nutzung erhöhen den Ingest in der Regel jedes Jahr. Ein Plan, der heute zum Speicher passt, passt im nächsten Jahr womöglich nicht mehr. Planen Sie die Kapazität der Speicherplattform daher mit einer Wachstumsreserve und überprüfen Sie die Zahlen, wann immer eine wichtige Quelle hinzukommt. Ein Beispiel für einen Aufbewahrungsplan Ein beispielhafter Plan für eine Organisation, die PCI DSS unterliegt und realistische Verweildauern abdecken möchte: Authentifizierungs-, EDR-, Netzwerksicherheits- und Cloud-Audit-Logs: 90 Tage hot, insgesamt 12 bis 24 Monate. Audit-Logs von Anwendungen für Systeme im Geltungsbereich: 90 Tage hot, insgesamt 12 Monate. Ausführliche Betriebslogs: 30 Tage hot, danach gelöscht. Logs unter Legal Hold: Aufbewahrung bis zur Freigabe. Passen Sie den Plan an Ihre regulatorischen Pflichten, Ihre Risikobereitschaft und Ihre Datenschutzbewertungen an. Checkliste: Aufbewahrung von Sicherheitslogs Regulatorische und vertragliche Anforderungen nach Rechtsraum und Branche auflisten. Datenschutzpflichten für personenbezogene Daten in Logs bewerten. Die Aufbewahrung so festlegen, dass sie die realistische Verweildauer von Angreifern übersteigt. Logs nach Ermittlungswert gruppieren und Fristen je Gruppe festlegen. Hot, Warm und Archivstufe mit klaren Zugriffszeiten definieren. Für lange Aufbewahrung skalierbaren Speicher wie Objektspeicher nutzen. Logs durch Unveränderlichkeit, separate Zugangsdaten und Integritätsprüfungen schützen. Löschung am Ende der Aufbewahrung automatisieren, mit Unterstützung für Legal Holds. Den Plan jährlich und nach größeren Vorfällen überprüfen. Fazit Die Aufbewahrung von Sicherheitslogs sollte drei Prüfungen bestehen: die regulatorischen Mindestanforderungen erfüllen, den Zeitraum abdecken, in dem Angreifer unentdeckt bleiben können, und innerhalb der Datenschutzgrenzen bleiben. Speicherstufen ermöglichen es, aktuelle Logs schnell und ältere Logs bezahlbar vorzuhalten, während Objektspeicher lange Aufbewahrung praktikabel macht und Unveränderlichkeit die Beweise intakt hält. Halten Sie den Plan schriftlich fest, setzen Sie ihn automatisiert durch und überprüfen Sie ihn, wenn sich Vorschriften und Bedrohungen ändern. Häufig gestellte Fragen Wie lange müssen Logs nach PCI DSS aufbewahrt werden? PCI DSS Version 4 verlangt mindestens 12 Monate Audit-Log-Historie, wobei mindestens die letzten drei Monate sofort für Analysen verfügbar sein müssen. Welche Anforderungen an die Logaufbewahrung gelten derzeit für US-Bundesbehörden? Das im Mai 2026 veröffentlichte OMB-Memorandum M-26-14 hat M-21-31 abgelöst. Es legt als Mindeststandard sechs Monate durchsuchbare und ein Jahr abrufbare Daten fest. Begrenzt die DSGVO die Aufbewahrung von Sicherheitslogs? Die DSGVO verlangt, dass personenbezogene Daten nicht länger als nötig aufbewahrt werden. Sicherheitslogs dürfen zu Sicherheitszwecken aufbewahrt werden, doch die Fristen sollten begründet und dokumentiert sein. Warum Logs länger als regulatorisch vorgeschrieben aufbewahren? Angreifer können lange unentdeckt bleiben. Eine längere Aufbewahrung hilft Ermittlern, einen Angriff bis zu seinem Beginn zurückzuverfolgen. Wo sollten Sicherheitslogs langfristig gespeichert werden? Auf skalierbarem, kosteneffizientem Speicher, oft Objektspeicher, mit Unveränderlichkeit gegen Manipulation und Lifecycle-Richtlinien für die planmäßige Löschung. Weiterführende Artikel Security Data Lakes Was ist ein SIEM? Audit-Trail für Speicher
