Log-Management26. Januar 2026 · 5 Min. Lesezeit

What to Log: Die 10 wichtigsten Log-Quellen für IT-Admins

Einleitung

Die größte Log-Falle im KMU-Umfeld ist nicht zu wenig Speicherplatz – es ist das falsche Logging. Systeme, die gigabyteweise Debug-Output produzieren, aber den Authentication-Event nicht aufzeichnen. Dieser Artikel zeigt dir, welche 10 Log-Quellen für Security wirklich zählen und warum alles andere erstmal nachrangig ist.

Warum das Thema wichtig ist

Logging ist die Grundlage von Detection und Response. Ohne die richtigen Quellen kannst du Angriffe nicht erkennen, Incidents nicht rekonstruieren, Forensik nicht betreiben. Das Problem: In den meisten KMU-Umgebungen wird geloggt, was per Default aktiv ist – und das ist selten das, was Security-relevante Ereignisse abdeckt. Windows loggt mit Basis-Einstellungen kaum etwas Nützliches. Linux läuft oft ohne Auditd-Regeln. Netzwerkgeräte sind komplett stumm. Ergebnis: Ein Angreifer hat wochenlang freie Bahn – und du merkst es erst, wenn der Schaden fertig ist.

Die 10 wichtigsten Log-Quellen

1. Windows Security Event Log

Der wichtigste Log-Kanal auf Windows-Systemen. Ohne ihn bist du blind für Authentication, Privilege-Escalation, Account-Manipulation.

Kritische Event IDs:

Aktivierung per GPO:

Computer Configuration → Windows Settings → Security Settings
→ Advanced Audit Policy Configuration
→ Logon/Logoff: Audit Logon = Success + Failure
→ Detailed Tracking: Audit Process Creation = Success

2. Windows PowerShell Logging

PowerShell ist das bevorzugte Tool für Living-off-the-Land. Ohne Logging siehst du nichts davon.

Wichtige Settings:

GPO-Pfad:

Computer Configuration → Administrative Templates
→ Windows Components → Windows PowerShell
→ Turn on Module Logging / Script Block Logging / Transcription

3. Sysmon

Sysmon (System Monitor, kostenlos von Microsoft Sysinternals) liefert tiefe Endpoint-Telemetrie, die im normalen Security-Log fehlt.

Wichtige Sysmon-Events:

Empfohlene Config: SwiftOnSecurity Sysmon Config auf GitHub – community-gepflegt, sofort einsatzbereit.

sysmon64 -accepteula -i sysmonconfig.xml

4. Linux Auditd

Das Linux-Audit-Framework ist der Gegenpol zu Sysmon – extrem granular konfigurierbar, mit Defaults nahezu nutzlos.

Beispiel-Regeln (/etc/audit/rules.d/audit.rules):

# Privilegierte Kommandos
-a always,exit -F arch=b64 -S execve -F euid=0 -k priv_exec

# sudoers-Änderungen
-w /etc/sudoers -p wa -k sudoers_changes

# SSH-Schlüssel
-w /root/.ssh -p wa -k ssh_keys

# Auth-Logs
-w /var/log/auth.log -p wa -k auth

# Crontab (Persistence)
-w /var/spool/cron -p wa -k crontab

Aktivieren: augenrules --load && systemctl restart auditd

5. Firewall Logs

Firewall-Logs zeigen nicht nur, was geblockt wird – sie zeigen Verbindungsaufbau, Zielpunkte, Kommunikationsmuster.

Was du brauchst:

Auf pfSense / OPNsense: Logging auf relevanten Regeln aktivieren, per Syslog forwarden.

6. DNS Logs

DNS ist der meistunterschätzte Log-Kanal. Fast jeder Angriff nutzt DNS – C2-Kommunikation, Data Exfiltration via DNS Tunneling, klassische Lookups vor dem Angriff.

Windows DNS Server:

Set-DnsServerDiagnostics -All $true -LogFilePath "C:\dns_debug.log"

bind9:

logging {
    channel query_log {
        file "/var/log/named/queries.log" versions 3 size 5m;
        print-time yes;
        severity dynamic;
    };
    category queries { query_log; };
};

Pi-hole oder AdGuard Home als zentraler Resolver liefern alle Queries zentral und mit User-Mapping.

7. VPN / Remote-Access Logs

Mit Remote Work ist VPN ein bevorzugter Angriffsvektor.

Was du brauchst:

8. Active Directory / Domain Controller Logs

AD ist das Goldmittel für Detection in Windows-Umgebungen. Die wichtigsten Angriffstechniken (Kerberoasting, Pass-the-Hash, DCSync) hinterlassen Spuren auf den DCs.

Wichtige Event IDs:

9. Web Server / Application Logs

Wenn du Webserver oder Applikationen betreibst – intern oder extern – sind deren Logs für Detection wichtig.

Apache/Nginx Combined Log:

192.168.1.100 - - [15/Jan/2024:14:23:10 +0100] "GET /wp-login.php HTTP/1.1" 200 1234

Verdachtsmuster:

10. E-Mail Security Gateway Logs

Phishing ist nach wie vor der häufigste initiale Angriffsvektor.

Was geloggt gehört:

Priorisierung: Was zuerst?

Wenn du von null anfängst:

Woche 1–2: Windows Security Event Log (DCs + Workstations), Sysmon auf kritischen Systemen Woche 3–4: Firewall-Logs zentralisieren, DNS-Logging aktivieren Monat 2: Auditd auf Linux-Servern, AD-Events auf DCs verfeinern Monat 3: VPN-Logs, Application-Logs, E-Mail-Gateway

Praxis-Checkliste

Fazit

Logging ist keine Einheitsgröße. Der entscheidende Schritt ist Priorisierung der Quellen, die tatsächlich Angriffsspuren liefern. Windows Security Event Log, Sysmon und Firewall-Logs geben dir massiven Visibility-Gewinn – mit kostenlosen Tools. Fang dort an, bevor du ein SIEM kaufst.

Wenn du tiefer einsteigen willst: Im Newsletter zeige ich jeden Monat konkrete Logging-Setups, SIGMA-Rules und Threat-Intelligence. Trag dich ein.

← Zurück zur Übersicht