Ein Prüfpfad – Audit Trail oder Prüfspur – ist eine lückenlose, chronologische Aufzeichnung aller sicherheitsrelevanten Ereignisse, Datenzugriffe, Systemänderungen und Entscheidungen in einem IT-System, die nachträglich nicht verändert werden kann. Der Prüfpfad beantwortet die Fragen: Wer hat wann was getan? Welche Daten wurden geändert – und von wem? Welche Entscheidung wurde getroffen – auf welcher Grundlage? Er ist die technische Grundlage für Accountability, forensische Untersuchungen und Compliance-Nachweise.
Prüfpfade sind für Automatisierungssysteme auf mehreren Ebenen relevant: Prozessebene (welche Workflow-Schritte wurden ausgeführt?), Datenbankebene (welche Datensätze wurden wie verändert?), Zugriffsebene (wer hat auf welche Ressourcen zugegriffen?) und Entscheidungsebene (warum hat das System diese Entscheidung getroffen?). Ein vollständiger Prüfpfad macht ein Automatisierungssystem nicht nur sicherer, sondern auch vertrauenswürdiger.
Anatomie eines Prüfpfad-Eintrags
event_id UUID: Eindeutige, unveränderliche Kennung des Ereignisses – für Referenzierung und Deduplication
timestamp ISO 8601 UTC: Exakter Zeitpunkt des Ereignisses – einheitlich, zeitzonenunabhängig, millisekunden-genau
actor User-ID / Service-Account-ID: Wer hat die Aktion ausgelöst? Mensch oder Maschine, immer eindeutig identifizierbar
action Ereignistyp: Was ist passiert? READ, CREATE, UPDATE, DELETE, LOGIN, EXPORT – strukturiertes Vokabular, kein Freitext
resource Betroffenes Objekt: Auf welche Ressource bezieht sich die Aktion? Tabelle + Datensatz-ID, API-Endpunkt, Workflow-ID
before / after Zustandsänderung: Bei Änderungen: Wert vorher und Wert nachher. Zeigt exakt, was geändert wurde – nicht nur dass etwas geändert wurde
result Ergebnis: SUCCESS oder FAILURE + Fehlercode. Abgelehnte Zugriffsversuche sind genauso wichtig wie erfolgreiche
Prüfpfad-Anforderungen für Compliance
- Unveränderlichkeit: Prüfpfad-Einträge dürfen nicht nachträglich geändert oder gelöscht werden – Write-Once-Speicher oder kryptographische Sicherung (Hash-Ketten)
- Vollständigkeit: Alle relevanten Ereignisse werden erfasst – keine selektive Protokollierung nur „normaler“ Vorgänge
- Aufbewahrungsfristen: Sicherheitsrelevante Prüfpfade mindestens 12 Monate, finanzrelevante bis 10 Jahre gemäß Archivierungspflichten
- Zugriff für Prüfer: Autorisierte interne und externe Prüfer können den Prüfpfad abfragen – mit definierten Zugriffsrechten und eigenem Zugriffs-Log
Praxisbeispiel
Ein Automationsdienstleister erhält von einem Kunden die Frage: „Wann genau und von wem wurde der Freigabe-Schwellenwert im Rechnungsworkflow von 1.000 auf 5.000 Euro geändert?“ Ohne Prüfpfad: Unmöglich zu beantworten, außer jemand erinnert sich oder die E-Mail ist noch auffindbar. Mit vollständigem Prüfpfad: Query auf die Audit-Log-Tabelle mit Filter: resource = „workflow:rechnung-freigabe-config“ AND action = „UPDATE“. Ergebnis in 8 Sekunden: Änderung am 14. März 2024 um 14:37:22 UTC durch Service-Account „user:m.schaefer“. Wert vorher: 1000. Wert nachher: 5000. Autorisiert durch: Ticket-Referenz #2024-0314-001. Vollständige Nachvollziehbarkeit einer 14 Monate alten Konfigurationsänderung in unter 10 Sekunden. Das ist der operative Wert eines vollständigen Prüfpfads.
