Serverprotokolle sind wichtige Beweise; Sollte jedoch Zeitsynchronisation + Hash + Serverbesitz im Gutachten nicht dokumentiert sein, wird die Gegenpartei dies mit dem Vorwurf der Manipulation widerlegen.
Gemeinsame Protokollquellen
- Apache/Nginx access.log + error.log.
- IIS-Protokoll (Windows Server).
- AWS CloudTrail / CloudWatch.
- Azure-Aktivitätsprotokoll.
- Anwendungsprotokoll (in der Anwendung).
- Datenbankabfrageprotokoll.
- SIEM (Splunk, ELK, Sentinel).
Zeitsynchronisation (NTP)
- Serverzeit über NTP mit der globalen Atomuhr synchronisiert – erforderlich.
- Wenn keine Synchronisation erfolgt, gilt die Behauptung, dass „die Uhr möglicherweise manipuliert wurde“.
- Der Expertenbericht sollte das NTP-Konfigurations- und Synchronisierungsprotokoll sehen.
Expertenmethodik
AWS CloudTrail-Beispiel
- CloudTrail protokolliert alle AWS-API-Aufrufe.
- Muss in S3 mit Zeitstempel + unveränderlich („Objektsperre“) gespeichert werden
- Experte: IAM-autorisierter Benutzer + lädt Protokoll + Hash + Analyse herunter.
- S3-Zugriffsprotokoll + KMS-Verschlüsselungsprotokollkorrelation.
Häufig gestellte Fragen
Protokoll gelöscht; Wird es zurückkommen?
Ja, wenn es eine S3-Versionierungs-, Objektsperr- und Lebenszyklusrichtlinie gibt. Wenn es auf dem lokalen Server gelöscht wurde, kann es mit Computerforensik wiederhergestellt werden. Wenn es an SIEM gesendet wird, ist es in SIEM verfügbar.
Die andere Partei sagt „Protokoll wurde manipuliert“; Wie antworten wir?
NTP-Synchronisierung + unveränderlicher Speicher + Hash-Kettendokument. Darüber hinaus setzt SIEM das Manipulationsrisiko durch „Tamper Detection“ zurück. Das Gutachten sollte diese Details klar darstellen.
Server eines Drittanbieters (AWS); Ist der Zugriff ein Problem?
Der Zugriff ist mit der Erlaubnis des IAM-berechtigten Benutzers möglich; Der Cloud-Anbieter kann zusätzliche Expertenberichte bereitstellen (z. B. AWS GovCloud-Audit). Wenn der autorisierte Benutzer fehlt, MLAT an AWS mit gerichtlichem Antrag.
Wie lange sollte der Protokollaufbewahrungszeitraum sein?
KVKK Artikel 7 Aufbewahrungsgrundsätze; Datentyp + Zweck abhängig. Üblich für Stamm: 1-3 Jahre; Finanzsektor 10 Jahre; Versicherungsgeschäft 10 Jahre. Die Unternehmenspolitik muss klar sein.
Das Bewerbungsprotokoll enthält personenbezogene Daten. Ist es KVKK-konform?
Vielleicht. Wenn das Protokoll personenbezogene Daten enthält, ist der Rechtsgrund gemäß KVKK Artikel 5 + Maskierung + Zugriffskontrolle erforderlich. Eine Schwärzung (PII-Entfernung) wird während der Expertenuntersuchung empfohlen.
Einschlägige Gesetzgebung
- HMK Art. 199-205 – Vorlage von Dokumenten und Beweisen.
- HMK Art.400-405 – Bestimmung; mit Zeuge / Sachverständiger.
- CMK Art. 134 – Computersuche, Kopieren; Hash-Kette.
- TCK Art. 243-245 – Computerkriminalität, digitale Beweiskette.
- E-Signatur-Gesetz (5070) – Elektronische Signatur und Zeitstempel.