Untertitel: Warum jeder Zugriff auf deine Daten eine lesbare, unveränderliche Spur hinterlassen muss.
Deine Daten liegen in Verfahren und Portalen. Irgendwer öffnet die Akte – Sachbearbeitung, Batch-Job, Schnittstelle. Du erfährst es oft nicht. Wenn du fragst: „Wer hat meine Daten gesehen?“, bekommst du Formulare oder die Auskunft: intern protokolliert.
Zwei schlechte Antworten: Dunkelkammer – oder Schein-Protokoll nur für IT und Revision.
Die These in einem Satz
Wer deine Daten anfasst, hinterlässt eine Spur – lesbar, vollständig, nicht wegwischbar.
Zwei schlechte Extreme
Ohne echtes Audit: Dunkelkammer (Zugriff ohne sichtbare Spur) und Schein-Protokoll (Logs nur für Admins, unleserlich, im Ernstfall weg). Dazu blinde Service-Accounts und Forensik erst nach dem Skandal.
Was es nicht ist
Keine reine Compliance-Checkbox. Kein Forensik-Dump für den Alltag. Kein Überwachungsstaat unter Transparenz-Label. Kein Ersatz für Least Privilege – das Protokoll macht Rechte sichtbar.
Sondern: vollständiger Capture, bürger-lesbare Sicht, append-only, Erklärpflicht bei Auffälligkeiten.
Drei Säulen
1. Vollständigkeit des Captures
Menschen, Service-Accounts, Batches, Exporte, Assistenzsysteme – kein blinder Kanal. Subjekt, Objekt, Aktion, Zeitpunkt, Zweck/Rechtsgrundlage. Least Privilege wird messbar.
2. Bürger-lesbare Sicht
Klartext in Minuten: wer · wann · was · warum. Export für Widerspruch. Ausnahmen mit Rechtsgrund und Frist – nicht verschweigen.
3. Integrität und Erklärpflicht
Append-only, manipulationsgeschützt. Betriebs-Log ≠ Bürger-Audit. Auffällige Muster müssen erklärbar sein.
Der kulturelle Kern
| Extrem A | Extrem B | Audit-Log |
|---|---|---|
| Kein Protokoll | Nur Admin-Forensik | Bürger-lesbare Zugriffsspur |
| Vertrauen als Glaube | Kontrolle als Geheimwissen | Vertrauen durch Sichtbarkeit |
| Once-Only im Blindflug | Nachsorge nach Skandal | Spur by default |
Entscheidungsfilter
- Wird jeder Zugriff erfasst – inkl. Batch und API?
- Siehst du in Minuten, wer wann was geöffnet hat?
- Ist das Log append-only und manipulationsgeschützt?
- Sind Zweck und Rolle in Klartext?
- Gibt es Erklärpflicht bei Auffälligkeiten?
- Speisen Tresor-Freigaben und Once-Only dasselbe Bürger-Protokoll?
Kurzformel
Wer deine Daten anfasst, hinterlässt eine Spur – lesbar, vollständig, nicht wegwischbar.
Leitlinie: Vollständig · Bürger-lesbar · Unveränderlich
Serie System · Systembrief · Essay-Video auf YouTube @systembrief_de (Release laut Kalender).