Audit Logging

Audit Logging im Überblick

Audit Logging protokolliert sicherheitsrelevante Ereignisse – unveränderlich und nachvollziehbar.

Was loggen:

Technisch betrachtet

Audit Log Format

{
  "timestamp": "<ISO-8601-Zeitstempel>",
  "event_type": "user.login",
  "actor": {
    "user_id": "user-123",
    "ip": "192.168.1.1"
  },
  "action": "login",
  "resource": "auth-service",
  "outcome": "success",
  "metadata": {
    "mfa_used": true
  }
}

Best Practices

Audit Logs vs. Anwendungs-Logs

Audit Logging ist nicht dasselbe wie normales Logging:

Ein häufiger Fehler ist, beides zu vermischen: Audit-Events verschwinden dann in der Masse der Debug-Ausgaben und unterliegen denselben kurzen Rotationszyklen.

Audit Logging für KI-Agenten und LLM-Anwendungen

Sobald KI-Systeme eigenständig handeln, wird Nachvollziehbarkeit zur Kernanforderung:

• Agenten-Aktionen protokollieren: Wenn ein KI-Agent Tools aufruft, Daten liest oder Änderungen vornimmt, muss jeder Schritt auditierbar sein – inklusive der Frage, welcher Nutzer oder welches Ereignis den Agenten ausgelöst hat.
• Prompt- und Antwort-Trails: Für kritische Anwendungen sollte nachvollziehbar sein, welche Eingaben zu welcher Modellausgabe geführt haben – etwa um Fehlentscheidungen oder Prompt-Injection-Vorfälle zu rekonstruieren.
• Attribution über die Kette: Bei Agenten, die andere Dienste aufrufen, braucht es eine durchgängige Korrelation (z. B. Trace-IDs), damit sich eine Aktion vom auslösenden Menschen bis zur ausgeführten Operation zurückverfolgen lässt.
• Vorsicht mit sensiblen Inhalten: Prompts können personenbezogene Daten enthalten. Audit-Logs von LLM-Anwendungen brauchen deshalb Redaction-Mechanismen und klare Retention-Regeln – Nachvollziehbarkeit darf nicht zum Datenschutzproblem werden.
• Regulatorischer Rückenwind: Der EU AI Act verlangt für Hochrisiko-KI-Systeme automatische Aufzeichnungen (“Logging-Fähigkeiten”) über den Betrieb – Audit Logging wird damit für viele KI-Anwendungen zur Pflicht.

Typische Stolperfallen

Abgrenzung zu verwandten Begriffen

• Observability (Metriken, Traces, Logs) dient dem Systemverständnis im Betrieb – Audit Logging dem rechtssicheren Nachweis von Handlungen.
• SIEM-Systeme werten Audit- und Sicherheits-Logs zentral aus und erkennen Angriffsmuster.
• Compliance-Standards wie SOC 2 und ISO 27001 fordern Audit Logging als Kontrolle – das Log ist der Nachweis, dass andere Kontrollen funktionieren.