Protokollierung bezeichnet im IT- und Compliance-Kontext die geordnete, dauerhafte und nachprüfbare Aufzeichnung von Ereignissen, Aktionen, Zuständen und Entscheidungen in einem System oder Prozess. Während Logging (technische Systemprotokolle) und Audit-Trail (Zugriffsprotokoll für Sicherheitsreviews) spezifische Ausprägungen sind, ist Protokollierung der übergeordnete Begriff: jede Art von dokumentierter Aufzeichnung, die Vorgänge für spätere Nachweise und Auswertungen reproduzierbar macht.
Für Automatisierungssysteme hat Protokollierung eine doppelte Bedeutung: Als operative Grundlage für Debugging und Monitoring – was ist wann passiert? – und als Compliance-Instrument für gesetzliche Nachweispflichten – kann bewiesen werden, dass und wie ein Vorgang stattgefunden hat? Beide Zwecke stellen unterschiedliche Anforderungen an Detailtiefe, Aufbewahrungsfristen und Manipulationsschutz.
Protokollierungstypen nach Zweck
Systemprotokolle
Technische Ereignisse: Starts, Fehler, Ressourcennutzung. Primär für Betrieb und Debugging. Kurze Aufbewahrung (30–90 Tage), hohe Detailtiefe.
Zugriffsprotokoll
Wer hat wann auf welche Daten zugegriffen? Für Sicherheits-Audits und DSGVO-Compliance. Mittlere Aufbewahrung (1–3 Jahre), personenbezogen.
Transaktionsprotokolle
Alle Geschäftsvorfälle mit Zeitstempel, Betrag, Beteiligte. Für steuerliche Compliance (GoBD). Lange Aufbewahrung (10 Jahre), revisionssicher.
Änderungsprotokolle
Wer hat wann was an welchem Datensatz geändert? Vorher/Nachher-Werte. Für Qualitätssicherung und Compliance. Aufbewahrung je nach Datensatz.
Workflow-Protokolle
Vollständiger Verarbeitungsweg jedes automatisierten Vorgangs – Eingang, alle Schritte, Ergebnis, Ausnahmen. Für Prozessnachweis und Debugging.
Entscheidungsprotokolle
Automatisierte und manuelle Entscheidungen mit Begründung und Datenbasis. Für KI-Compliance (EU AI Act) und regulatorische Prüfungen unerlässlich.
Protokollierungspflichten für Automatisierungsprojekte
Verschiedene Vorschriften erzeugen spezifische Protokollierungspflichten: Die DSGVO fordert Nachweise über Rechtsgrundlagen und Löschvorgänge. Die GoBD verlangt lückenlose Transaktionsprotokolle für steuerrelevante Vorgänge. Der EU AI Act schreibt Entscheidungsprotokolle für Hochrisiko-KI vor. Für jeden Automatisierungsworkflow sollte explizit definiert sein, welche Protokollierungspflichten gelten – und ob die aktuelle Implementierung diese erfüllt.
Praxisbeispiel
Ein Automationsdienstleister definiert für jeden Workflow-Typ eine Protokollierungsmatrix. Rechnungsverarbeitungs-Workflow: Systemprotokolle (Betrieb, 30 Tage), Workflow-Protokoll (vollständiger Verarbeitungsweg, 10 Jahre nach GoBD), Transaktionsprotokoll (Buchungsdaten, 10 Jahre), Zugriffsprotokoll (wer hat Rechnung manuell geprüft, 3 Jahre nach DSGVO). Kunden-Onboarding-Workflow: Entscheidungsprotokoll (warum wurde Onboarding genehmigt/abgelehnt, 3 Jahre), Zugriffsprotokoll (Datenzugriffe auf personenbezogene Daten, 3 Jahre), kein Transaktionsprotokoll (keine steuerrelevanten Vorgänge). Ergebnis: 4 verschiedene Protokolltypen mit 4 verschiedenen Aufbewahrungsfristen für einen Workflow. Die Matrix macht implicit explizit und verhindert, dass Protokolle zu früh gelöscht oder zu lang aufbewahrt werden.
