Prüfprogramm Logging und Monitoring.
Wie Sie prüfen, ob sicherheitsrelevante Ereignisse vollständig protokolliert, geschützt aufbewahrt, ausgewertet und bei Auffälligkeiten rechtzeitig verfolgt werden.
Stand: 13. Oktober 2026 · Muster, keine Rechtsberatung
Muster als PDF herunterladen 8 Seiten, ohne Anmeldung
Als Excel-Vorlage herunterladen mit Spalten für Ergebnis und Bemerkung, ohne Anmeldung
Prüfungsziel
Die Prüfung beurteilt, ob die Organisation festgelegt hat, welche Ereignisse in welchen Systemen protokolliert werden, ob die Protokolle vor Veränderung geschützt sind und ob eine wirksame Überwachung Auffälligkeiten erkennt und in die Behandlung von Sicherheitsvorfällen überführt. Sie beurteilt außerdem, ob Zeitquellen abgestimmt sind, damit Ereignisse systemübergreifend nachvollziehbar bleiben.
Geltungsbereich
- Server, Datenbanken, Verzeichnisdienste, Netzkomponenten, Firewalls und Anwendungen, die für wesentliche Dienste genutzt werden
- Zentrale Protokollsammlung, SIEM oder vergleichbare Auswertung sowie Alarmierungswege
- Betrieb durch eigene Mitarbeitende und durch Dienstleister, soweit sie Protokolle erzeugen oder auswerten
- Nicht Gegenstand: Videoüberwachung und die Protokollierung von Kundenanwendungen, sofern nicht gesondert vereinbart
Prüfprogramm
| Nr. | Kriterium | Fundstelle | Prüfhandlung | Erwartete Nachweise |
|---|---|---|---|---|
| 1 | Eine Richtlinie legt fest, welche Ereignisse zu protokollieren sind, wie lange Protokolle aufbewahrt werden und wer sie auswertet. | ISO/IEC 27001:2022 Anhang A 8.15; BSI OPS.1.1.5 | Richtlinie lesen, Freigabe und Aktualität feststellen und mit der Systemübersicht abgleichen. | Protokollierungsrichtlinie mit Freigabevermerk, Systemübersicht |
| 2 | Für wesentliche Systeme sind die zu erfassenden Ereignisse festgelegt, darunter Anmeldungen, Rechteänderungen, Zugriffe auf sensible Daten und Konfigurationsänderungen. | ISO/IEC 27001:2022 Anhang A 8.15 | Fünf wesentliche Systeme auswählen und die tatsächlich aktivierten Protokollquellen mit der Festlegung vergleichen. | Protokollkonzept je System, Konfigurationsauszüge der Protokollierung |
| 3 | Protokolle werden zentral gesammelt, vor Änderung und Löschung geschützt und für die festgelegte Dauer aufbewahrt. | ISO/IEC 27001:2022 Anhang A 8.15; BSI OPS.1.1.5 | Zugriffsrechte auf die Protokollablage prüfen und stichprobenweise Protokolle aus dem Aufbewahrungszeitraum abrufen. | Berechtigungsauszug der Protokollablage, Aufbewahrungseinstellungen, Abrufbeispiele |
| 4 | Administratoren können Protokolle ihrer eigenen Tätigkeit weder verändern noch löschen. | ISO/IEC 27001:2022 Anhang A 8.15 | Prüfen, ob privilegierte Konten Schreib- oder Löschrechte auf Protokolle besitzen, und die Trennung der Rollen nachvollziehen. | Rollenmatrix, Berechtigungsauszug, Konfiguration der Protokollweiterleitung |
| 5 | Die Uhren der Systeme sind auf abgestimmte Zeitquellen synchronisiert, sodass Ereignisse über Systeme hinweg einander zugeordnet werden können. | ISO/IEC 27001:2022 Anhang A 8.17 | Zeitquellen und Abweichungen auf einer Stichprobe von Servern und Netzkomponenten auslesen. | Konfiguration der Zeitdienste, Auslesung der Zeitabweichung |
| 6 | Es besteht eine Überwachung, die Auffälligkeiten in Netzen, Systemen und Anwendungen erkennt, mit festgelegten Schwellen und Regeln für Alarme. | ISO/IEC 27001:2022 Anhang A 8.16; BSI DER.1; DORA Art. 10(1) und (2) | Regelwerk der Überwachung ansehen, Abdeckung der wesentlichen Systeme abgleichen und Schwellenwerte erfragen. | Regelkatalog der Überwachung, Abdeckungsübersicht, Beschreibung der Schwellen |
| 7 | Alarme erreichen die zuständigen Personen zeitnah, werden bewertet und bis zur Erledigung nachverfolgt. | ISO/IEC 27001:2022 Anhang A 8.16; DORA Art. 10(2) | Zehn Alarme der letzten sechs Monate auswählen und Eingang, Bewertung, Reaktionszeit und Abschluss nachvollziehen. | Alarmliste, Tickets, Bereitschaftsplan |
| 8 | Für die Überwachung stehen ausreichend qualifiziertes Personal und Zeiten zur Verfügung, auch außerhalb der Geschäftszeiten. | DORA Art. 10(3); BSI DER.1 | Besetzung, Bereitschaftsmodell und Vertretungsregeln mit dem Alarmaufkommen vergleichen. | Dienstplan, Bereitschaftsregelung, Statistik des Alarmaufkommens |
| 9 | Die Überwachung wird regelmäßig auf Wirksamkeit getestet, etwa durch simulierte Ereignisse, und Lücken werden behoben. | DORA Art. 10(1); ISO/IEC 27001:2022 Anhang A 8.16 | Testprotokolle der letzten zwölf Monate ansehen und prüfen, ob Befunde zu Anpassungen der Regeln geführt haben. | Testberichte, Regeländerungen, Maßnahmenliste |
| 10 | Ereignisse mit Sicherheitsbezug werden in die Behandlung von Sicherheitsvorfällen überführt und dort klassifiziert. | BSI DER.1; BSI DER.2.1 | Für drei Alarme prüfen, ob und wie sie als Sicherheitsvorfall erfasst und bewertet wurden. | Vorfallsregister, Verknüpfung von Alarm und Vorfall |
| 11 | Protokolle von Dienstleistern und Cloud-Diensten sind verfügbar und werden in die Auswertung einbezogen. | ISO/IEC 27001:2022 Anhang A 8.15 und 5.22 | Für zwei ausgelagerte Dienste prüfen, welche Protokolle bereitgestellt werden und ob sie in die Überwachung einfließen. | Vertragsklauseln zu Protokollen, Anbindung der Protokollquellen |
| 12 | Datenschutz bei Protokollen ist geregelt: Zugriff, Zweckbindung und Löschfristen für personenbezogene Inhalte sind festgelegt. | Praxisanforderung | Regelungen zu Zugriff und Löschung ansehen und mit der Betriebsvereinbarung beziehungsweise dem Datenschutzkonzept abgleichen. | Datenschutzkonzept, Löschkonzept, Vereinbarung mit der Arbeitnehmervertretung |
Unterlagen zur Anforderung
- Protokollierungs- und Überwachungsrichtlinie
- Systemübersicht mit Protokollkonzept je wesentlichem System
- Konfigurationsauszüge der Protokollierung und der Zeitsynchronisation
- Regelkatalog der Überwachung und Abdeckungsübersicht
- Alarmliste der letzten sechs Monate mit Tickets
- Bereitschaftsplan und Eskalationsregeln
- Berechtigungsauszug der zentralen Protokollablage
- Testberichte zur Überwachung
Typische Feststellungen
- Wesentliche Systeme erzeugen keine oder nur lokale Protokolle, die nicht zentral gesammelt werden.
- Administratoren haben Schreib- oder Löschrechte auf die Protokolle, die ihre Tätigkeit festhalten.
- Zeitquellen sind nicht abgestimmt, Ereignisse lassen sich über Systeme hinweg nicht zuordnen.
- Alarme werden erzeugt, aber nicht zeitnah bewertet; es gibt keine Bereitschaft außerhalb der Geschäftszeiten.
- Die Überwachung ist nie getestet worden, Regeln stammen aus der Einführung und wurden nicht angepasst.
- Protokolle von Dienstleistern und Cloud-Diensten sind nicht angebunden.
Hinweis zu Fundstellen
Die Fundstellen verweisen auf Gesetze, Verordnungen und Standards, damit Sie die Anforderung im Original nachlesen können. Normtexte sind nicht abgedruckt. Kriterien und Prüfhandlungen sind eigene Formulierungen und ersetzen weder den Wortlaut der Vorschriften noch eine Rechtsberatung. Ob und in welchem Umfang eine Vorschrift für Ihre Organisation gilt, klären Sie vor der Prüfung.
Das vollständige Paket
Dieses Muster zeigt Ziel, Prüfzeilen und Unterlagen auf einer Seite. Zu Ihrem konkreten Prüfthema erstellt ProAuditMap das vollständige Paket: Prüfungsplan, Prüfprogramm je Prüfdimension, Unterlagenkatalog, Interviewleitfäden, Zeitplan, Kommunikation und Berichtsvorlage. Sie prüfen den Entwurf, geben ihn frei und exportieren nach Excel und Word.
Konto anlegen Vollständiges Beispielpaket ansehen Preise ansehen