Audit-Log und Supportzugriff: Wer hat was wann geändert?

Stellen Sie sich Marta vor, Office-Managerin in einem Unternehmen mit 250 Mitarbeitenden, zwei Etagen und einem Parkplatz. Dienstag, 9:50 Uhr. Innerhalb von zehn Minuten schreiben ihr drei Personen: Ihre Schreibtischbuchungen wurden als No-Show freigegeben, obwohl sie wie jede Woche um 9:40 Uhr da waren. Etwas hat sich geändert, und niemand erinnert sich, es geändert zu haben. Die Organisation hat vier Admins und dazu eine Integration, die Benutzer aus dem Unternehmensverzeichnis synchronisiert. Die Frage ist einfach: Wer hat was wann geändert?

Eine Woche später stellt ihr Datenschutzbeauftragter für die jährliche Lieferantenprüfung eine andere Frage: „Hat der Softwareanbieter dieses Jahr in unsere Daten geschaut, und wenn ja, wann?“ Solche Fragen werden oft mit einem Richtliniendokument beantwortet. Marta möchte sie lieber mit einer Liste beantworten.

Dieser Artikel zeigt Schritt für Schritt, wie das Audit-Log von Desk & Park beide Fragen beantwortet und was es nicht leistet.

Schritt 1: das Audit-Log öffnen und die Änderung finden

Admins finden das Protokoll unter Audit-Log. Oben stehen drei Zähler: Ereignisse der letzten 24 Stunden, Warnungen und kritische Ereignisse. Darunter folgt eine Tabelle der jüngsten Einträge, die neuesten zuerst, mit diesen Spalten:

Zeitstempel: wann es passiert ist.
Schweregrad: Info, Warnung oder Kritisch.
Akteur: die E-Mail-Adresse der Person, die die Änderung vorgenommen hat, darunter ihre Rolle, oder „system“ bei automatischen Aktionen.
Aktion und Ressource: was getan wurde und an welcher Art von Objekt.
Details: die beteiligten Werte, zum Beispiel role: MEMBER → ADMIN bei einem Rollenwechsel.
IP-Adresse: woher die Anfrage kam.

Marta tippt „policy“ in das Suchfeld („Nach Akteur, Aktion oder Details suchen...“). Der Eintrag ist da: Gestern um 17:12 Uhr hat einer der Admins die Buchungsrichtlinie geändert und die Check-in-Frist verkürzt. Der Eintrag hält die Werte vor und nach der Änderung fest, und das anschließende Gespräch dreht sich darum, ob die neue Frist sinnvoll ist, nicht darum, wer es war. (Wenn Sie diese Frist feinjustieren, erklärt unser Artikel über Geisterbuchungen und automatische Freigabe die Abwägung.)

Was protokolliert wird

Das Protokoll umfasst die Änderungen, die ein Admin je nachvollziehen müsste: Benutzer und Rollen, Reservierungen, Plätze und Karten, Standorte, die Buchungsrichtlinie, Integrationen, Single-Sign-on- und SCIM-Einstellungen, Kalendersynchronisierung, Besucher, Kiosk-Geräte und Backups. Änderungen, die die SCIM-Bereitstellung automatisch vornimmt, erscheinen ebenfalls; „das Verzeichnis hat diese Person deaktiviert“ lässt sich also von „ein Admin hat es getan“ unterscheiden.

Jeder Eintrag speichert den Akteur und seine Rolle, die Aktion und das betroffene Objekt, das Ergebnis, die Werte vorher und nachher, die IP-Adresse und den User-Agent des Browsers.

Der Schweregrad-Filter

Rollenwechsel, Deaktivierungen und Löschungen sind als Warnung markiert. Fehlgeschlagene Aktionen sind Kritisch. Der Filter nach Schweregrad ist die schnellste wöchentliche Prüfung: Filter auf Warnung stellen, durchsehen, wer befördert oder deaktiviert wurde, fertig.

Schritt 2: der Sicherheitsfeed in derselben Tabelle

Inhaltliche Änderungen sind nur die Hälfte des Bildes. Dieselbe Tabelle zeigt auch den Sicherheitsfeed: erfolgreiche und fehlgeschlagene Anmeldungen, Sperren nach wiederholten Fehlversuchen, angeforderte und fehlgeschlagene Zwei-Faktor-Codes, das Ein- und Ausschalten der Zwei-Faktor-Authentifizierung, Zurücksetzen und Ändern von Passwörtern sowie die Wiederverwendung eines widerrufenen Sitzungstokens. Eine fehlgeschlagene Anmeldung, eine Sperre oder ein wiederverwendetes Token erscheinen als Kritisch; das Ausschalten der Zwei-Faktor-Authentifizierung als Warnung.

Für Marta heißt das: eine einzige Stelle zum Nachsehen. Wurde ein Konto um 7:00 Uhr gesperrt und um 7:05 Uhr seine Rolle geändert, stehen beide Zeilen direkt untereinander.

Schritt 3: dem Datenschutzbeauftragten antworten, Supportzugriffe stehen in Ihrem eigenen Protokoll

Nun zur zweiten Frage. Wenn der Plattformbetreiber, also das Team, das Desk & Park betreibt, die Support-Ansicht Ihrer Organisation öffnet, um bei einem Ticket zu helfen, schreibt das System einen Eintrag in das eigene Audit-Log Ihrer Organisation. Er erscheint als TENANT SUPPORT ACCESS, mit der E-Mail-Adresse des Betreibers, der Uhrzeit und der IP-Adresse.

Marta tippt also „support“ in das Suchfeld und bekommt die Antwort als Liste: wann jemand von Anbieterseite die Daten der Organisation geöffnet hat und wer es war. Das ist der Unterschied zwischen „Wir haben eine Richtlinie“ und „Hier ist der Nachweis“. Der Eintrag landet in Ihrem Protokoll, nicht in einem, das nur der Anbieter lesen kann. Da die Seite die jüngsten Einträge zeigt, macht Marta diese Prüfung zur monatlichen Gewohnheit und bewahrt den Export auf, statt auf die jährliche Prüfung zu warten.

Wo das Protokoll liegt und wie lange es bleibt

Jede Organisation in Desk & Park hat ihre eigene PostgreSQL-Datenbank mit einer eigenen Datenbank-Login-Rolle, und das Audit-Log wird dort gespeichert, neben Ihren Benutzern, Karten und Buchungen. Warum diese Architektur wichtig ist, erklären wir in Warum Ihre Arbeitsplatzdaten eine isolierte Datenbank brauchen. Den Sicherheitsfeed führt der Anmeldedienst der Plattform; Ihnen wird er gefiltert auf Ihre Organisation angezeigt.

Audit- und Sicherheitseinträge werden standardmäßig 365 Tage aufbewahrt und danach automatisch gelöscht, entsprechend den Aufbewahrungsfristen in der Datenschutzerklärung. Rund um das Protokoll gibt es weitere Kontrollmöglichkeiten, die ein Admin über die Daten der Organisation hat:

Nächtliche verschlüsselte Backups der Organisationsdatenbank, die der Admin der Organisation abschalten kann.
Ein JSON-Export der Daten der Organisation, für Admins.
Ein Löschantrag für die gesamte Organisation.

Die Bedingungen der Auftragsverarbeitung stehen im AVV (DPA).

Tipps aus der Praxis

Geben Sie allen ein eigenes Admin-Konto. Ein gemeinsamer „admin@“-Login macht die Spalte Akteur nutzlos. Eine Person, ein Konto.
Prüfen Sie wöchentlich fünf Minuten lang. Filtern Sie nach Warnung, dann nach Kritisch. Suchen Sie nach unerwarteten Rollenwechseln und wiederholten fehlgeschlagenen Anmeldungen.
Bewahren Sie eine Kopie auf, wenn Sie eine längere Historie brauchen. Die Schaltfläche CSV exportieren lädt die aktuell auf der Seite geladenen Einträge herunter, also die jüngsten. Wollen Ihre Prüfer mehr als ein Jahr sehen, exportieren Sie regelmäßig und legen Sie die Dateien zu Ihren übrigen Compliance-Unterlagen.
Nehmen Sie Supportzugriffe in Ihre Lieferantenprüfung auf. Suchen Sie einmal im Monat nach „support“, exportieren Sie das Ergebnis und legen Sie es für die jährliche Prüfung ab. Das dauert eine Minute.
Kombinieren Sie das Protokoll mit einer starken Admin-Anmeldung. Das Protokoll sagt Ihnen, was passiert ist; Zwei-Faktor-Authentifizierung auf jedem Admin-Konto macht es unwahrscheinlicher, dass etwas Schlimmes passiert. Siehe SSO, Passkeys und Zwei-Faktor-Anmeldung.

Umfang: was die Funktion nicht leistet

Die Admin-Seite zeigt die jüngsten Einträge und bietet darüber eine Freitextsuche und einen Schweregrad-Filter, aber keinen Filter nach Zeitraum. Der CSV-Export umfasst die auf der Seite geladenen Einträge, nicht das ganze Jahr. Ein Streaming von Audit-Ereignissen in ein SIEM gibt es nicht. Einträge, die älter als die Aufbewahrungsfrist sind, werden gelöscht; die Langzeitarchivierung ist also Ihr Export, nicht das Produkt. Und die oben beschriebene Isolation ist eine eigene Datenbank pro Organisation, keine eigene Hardware.

FAQ

Wer kann das Audit-Log sehen?

Die Admins der Organisation. Die Seite zeigt inhaltliche Änderungen (Benutzer, Rollen, Buchungen, Karten, Richtlinie, Integrationen) und den Sicherheitsfeed (Anmeldungen, Fehlversuche, Sperren, Zwei-Faktor- und Passwortereignisse) in einer Tabelle.

Können wir sehen, wann das Supportteam des Anbieters auf unsere Daten zugegriffen hat?

Ja. Öffnet der Plattformbetreiber die Support-Ansicht Ihrer Organisation, wird ein Eintrag TENANT SUPPORT ACCESS mit E-Mail-Adresse des Betreibers, Uhrzeit und IP-Adresse in Ihr eigenes Audit-Log geschrieben. Suchen Sie nach „support“, um die jüngsten aufzulisten, und exportieren Sie sie regelmäßig, wenn Sie einen Nachweis über das ganze Jahr möchten.

Wie lange werden Audit-Einträge aufbewahrt?

Standardmäßig 365 Tage; ältere Einträge werden automatisch gelöscht. Brauchen Sie eine längere Historie, exportieren Sie das Protokoll regelmäßig als CSV und bewahren Sie die Dateien selbst auf.

Können wir das Audit-Log nach Datum filtern?

Nicht auf der Admin-Seite. Sie können die jüngsten Einträge nach Akteur, Aktion oder Details durchsuchen, nach Schweregrad filtern und für die weitere Auswertung in einer Tabellenkalkulation als CSV exportieren.

Wird das Audit-Log getrennt von anderen Kunden gespeichert?

Ja. Das Audit-Log jeder Organisation wird in deren eigener PostgreSQL-Datenbank gespeichert, zusammen mit ihren Benutzern, Karten und Buchungen.