An einem Freitagabend schlägt Ransomware zu. Das Team fragt den Gastgeber: Wer hat sich in den letzten 48 Stunden bei unserem VPS angemeldet? Antwort: Durchsuchbare Support-Tickets, keine SSH-Korrelation, 7-tägige Panel-Aufbewahrung. Die interne Untersuchung ist blockiert. Der Datenschutzbeauftragte wartet auf einen Zeitplan für die CNIL-Benachrichtigung.
Administratorzugriff ist die am wenigsten dokumentierte Schwachstelle beim Hosting. Verschlüsselte Produktion, aktivierte Firewall – und doch reichen ein gemeinsamer Root-Schlüssel, ein nicht nachvollziehbarer Medienzugriff oder löschbare Protokolle aus, um monatelange angezeigte Compliance ungültig zu machen.
Zwei Umfänge, die man nie verwechseln sollte
Hostzugriff (Support, NOC, Hypervisor). Sie haben keine direkte Kontrolle darüber. Sie können in der DSGVO verlangen: Protokollierung, Benachrichtigung bei Zutritt ohne Ticket, Protokoll der Sendezeit, Zutrittsverbot ohne Begründung.
Client-Zugriff (SSH, Anwendungspanel, CI/CD, Admin-Datenbank). Hierfür sind Sie verantwortlich. Benannte Konten, MFA, kein gemeinsamer Root, API-Schlüsselrotation. Protokolle müssen den Server verlassen und im Speicher verbleiben, den der kompromittierte Administrator nicht löschen kann.
| Quelle | Beispiele | Eigentümer | Erwarteter Beweis |
|---|---|---|---|
| Gastgeber | Cloud-Konsole, Rettungsmodus, Hypervisor | Dienstleister | Export innerhalb von 72 Stunden auf Anfrage |
| Kunde | SSH, sudo, Bereitstellung | Du | SIEM- oder WORM-Bucket |
| Bewerbung | WordPress-Administrator, Backoffice | Sie + Herausgeber | App + IP-Protokolle |
Ein glaubwürdiger Prüfpfad verknüpft Identität, Aktion, Zeitstempel und Problemticket – nicht nur „Anmeldung erfolgreich“.
Erstellen Sie eine Zeitleiste, die vor den Hörer passt
Beginnen Sie mit der Auflistung der zu rekonstruierenden Szenarien: vermutete Kompromittierung, menschliches Versagen, Supportzugriff während eines Ausfalls, nächtliche Migration.
Überprüfen Sie für jedes Szenario Folgendes:
- Synchronisierter Zeitstempel (NTP) auf VMs und Protokolldiensten.
- Einzelne Identität – nicht „admin@“ oder „deploy“, die von zehn Personen geteilt wird.
- Unveränderlichkeit – Protokolle, die außerhalb des kompromittierbaren Servers kopiert wurden (S3 Object Lock, Remote-Syslog).
- Korrelation – Warnung, wenn der Administratorzugriff außerhalb des üblichen Bereichs liegt oder kein zugehöriges Ticket vorliegt.
Bitten Sie den Gastgeber um ein Beispiel-Medienprotokoll (anonymisiert), aus dem das Format und die Aufbewahrung hervorgehen. Wenn die Antwort „vertraulich“ ist, verhandeln Sie eine Prüfungsklausel oder einen Bericht Dritter.
Fehler, die dazu führen, dass Audits fehlschlagen
Verwechseln Sie Webprotokolle und Administratorprotokolle. Apache access.log zeigt nicht an, wer Root geworden ist.
Zu kurze Aufbewahrung beim Host. Sie entdecken den Einbruch nach 30 Tagen; Panel-Protokolle reichen nur bis 14.
Rettungsmodus ohne Benachrichtigung. Der Host stellt eine Rettungsdiskette bereit, um Ihnen zu „helfen“ – ohne vertragliche Rückverfolgung oder Kundenbenachrichtigung.
Permanentes Glasbruchkonto. Das Notfallkonto bleibt das ganze Jahr über aktiv, anstatt aktiviert, verwendet, deaktiviert und protokolliert zu werden.
Jeder Punkt wird durch eine Vertragslinie und einen jährlichen Test korrigiert: Simulieren Sie eine Anforderung von Protokollen zu einem fiktiven Vorfall.
Der Gipfel: Ohne Admin-Logs, keine Due Diligence
Folgendes wird in den Verfügbarkeits-SLAs nicht erwähnt.
Der Gipfel: Forderung Wiederaufbaukapazität, kein Versprechen „verstärkter Sicherheit“. In einer Krise zählen Minuten – und gelöschte Protokolle kommen nicht zurück.
Entscheide dich und gehe ohne blinden Fleck voran
Inventarisieren Sie alle Admin-Pfade: Hosting-Panel, SSH, Cloud-API, Datenbankzugriff, CI. Für jeden: wer, protokolliert wo, Aufbewahrung wie viel.
Zum DPA hinzufügen: Lieferzeit für Host-Protokolle, Format, Eskalationskontakt. Senden Sie auf Client-Seite Protokolle diese Woche an den unveränderlichen Speicher – nicht nach dem Vorfall.
Vergleichen Sie Hosts hinsichtlich der Support-Transparenz über unser Verzeichnis und den Vergleicher. Verknüpfen Sie mit Least Privilege, um die Oberfläche vor der Protokollierung zu reduzieren.
Häufig gestellte Fragen
Sollte der Host seinen eigenen Admin-Zugriff protokollieren?
Ja, für ein sensibles Projekt: Hypervisor-Zugriff, Panel, eskalierter Support und Notfalleinsätze müssen nachverfolgt, mit einem Zeitstempel versehen und vertraglich kommuniziert werden.
Welche Mindestereignisse auf der Clientseite?
SSH/RDP-Verbindungen, Rechteausweitung, IAM-Änderungen, Administrator-Datenbankzugriff, Bereitstellungen und Zugriff auf Geheimnisse – mit nominativer Identität.
Wie lange werden Administratorprotokolle aufbewahrt?
Je nach Risiko; oft mindestens 6 bis 12 Monate für interne Untersuchungen. Richten Sie Host und Client auf kompatible Zeiträume aus.
Reichen die freigegebenen Panel-Protokolle aus?
Selten für einen VPS oder eine Cloud. Sie decken nicht immer SSH, API-Schlüssel oder L3-Hypervisor-Zugriff ab.
Im Compliance-Bereich lautet die Frage nicht „Haben Sie einen Administrator?“ » – es ist „Können Sie beweisen, was er getan hat?“ »