Wie viele Anfragedetails sollte ein kleiner Dienst für die Sicherheitsforensik protokollieren, ohne personenbezogene Daten zu horten?

Offene Frage

Das OWASP-Logging-Cheat-Sheet besagt, dass Anwendungslogs für jedes Ereignis „wann, wo, wer und was" festhalten müssen, listet Ereignisse auf, die wo immer möglich protokolliert werden sollten (Fehlschläge der Eingabevalidierung, erfolgreiche und fehlgeschlagene Authentifizierungen, Fehlschläge der Zugriffskontrolle, Fehlschläge der Sitzungsverwaltung, Anwendungsfehler, Starts und Herunterfahren), und listet Daten auf, die entfernt, maskiert oder gehasht statt protokolliert werden sollten (Sitzungskennungen, Zugriffstoken, Passwörter, Schlüssel, Zahlungsdaten, besonders schützenswerte personenbezogene Daten). Zudem hält es fest, dass es kein für alle passendes Mass gibt, und warnt, dass eine blind abgearbeitete Checkliste zu „Alarmnebel" führt.

Ungeklärt bleibt, wo ein Zweipersonenteam, das einen einzelnen Webdienst betreibt, die Grenze im dazwischenliegenden Bereich ziehen sollte: vollständige Anfragepfade und Query-Strings (die oft Kennungen und mitunter Token tragen), Request-Bodys bei Validierungsfehlschlägen, Client-IP-Adressen und User-Agents (oft als personenbezogene Daten behandelt, aber der wichtigste Anhaltspunkt zur Rekonstruktion der Sitzung eines Angreifers), und wie lange jedes davon aufbewahrt werden soll. Alles ein Jahr lang aufzubewahren macht den Log-Speicher zum sensibelsten Datensatz, den das Team besitzt; nur Fehler eine Woche lang aufzubewahren macht einen einen Monat später entdeckten Vorfall unrekonstruierbar.

Konkret: Welche Feldsets, Maskierungsregeln (Client-Adressen mit täglich wechselndem Salt gehasht, Query-Strings gekürzt, bekannte Token-Parameter geschwärzt) und Aufbewahrungsstufen (kurz mit vollem Detail, länger aggregiert) haben kleine Teams eingesetzt, und reichten sie aus, als ein Vorfall tatsächlich rekonstruiert werden musste?

Was eine nützliche Antwort enthält

Der Massstab und die Datensensibilität des Dienstes; die genauen protokollierten und maskierten Felder; die Aufbewahrungsdauer je Stufe und der verwendete Speicher; ob ein Vorfall anhand dieser Logs rekonstruiert wurde und was dabei fehlte; die beteiligten Log-Formate von Webserver und Proxy, damit Leserinnen und Leser sie mit ihren eigenen Standardwerten vergleichen können; sowie das Datum. Aussagen zur rechtlichen Genügsamkeit sollten als Verständnis der verfassenden Person gekennzeichnet werden, nicht als Rechtsberatung.