Audit-Log (Ablaufprotokoll)
Ein Audit-Log ist ein fortlaufendes, nachträglich nicht veränderbares Protokoll, das jeden Schritt eines Ablaufs mit Zeitstempel, Auslöser, Eingabe, ausgeführter Aktion und Ergebnis festhält, sodass sich ein Vorgang später lückenlos nachvollziehen lässt.
Das Audit-Log ist die Ablagegrenze eines Agent-Harness: Es macht das Handeln einer KI-Automation überprüfbar und ist zugleich der Ort, an dem sich alle verarbeiteten Angaben ein zweites Mal sammeln.
In einfachen Worten
Ein technisches Server-Log hält fest, dass ein Rechner etwas getan hat. Ein Audit-Log hält fest, was in einem Vorgang geschehen ist, in einer Form, die ein Mensch später lesen kann: Wann wurde der Durchlauf ausgelöst und wodurch, welche Eingabe hat das Sprachmodell bekommen, welche Funktion hat der Harness daraufhin aufgerufen, was kam zurück, wo wurde angehalten und wer hat freigegeben. Jeder Durchlauf der Agentenschleife ergibt eine Kette solcher Einträge. Zwei Eigenschaften machen das Protokoll belastbar. Es wird nur angehängt, nie geändert oder gelöscht, sodass ein Eintrag nachträglich nicht verschwinden kann. Und es liegt bei einem lokalen Harness auf Systemen des Betriebs, mit Datensicherung und Löschfrist. Eine dritte Eigenschaft wird häufig übersehen: Das Protokoll enthält jede Eingabe und jedes Ergebnis und damit alle Angaben, die der Ablauf je verarbeitet hat. Deshalb gelten für das Protokoll dieselben Regeln wie für den Vorgang selbst, ein benannter Lesekreis, eine Aufbewahrungsfrist und die Ersetzung personenbezogener Angaben, wo sie im Vorgang ersetzt wurden.
Wozu brauche ich das?
Das Audit-Log ist bei jeder Automation nötig, die Entscheidungen vorbereitet oder Aktionen auslöst. Es beantwortet drei Fragen, die sonst offen bleiben: Warum hat die Automation so entschieden, welche Angaben waren bei einer Störung betroffen und wer hat den verbindlichen Schritt freigegeben. Für die Freigabe ist es zugleich der Nachweis, dass geprüft und nicht nur bestätigt wurde, weil Korrekturen im Protokoll sichtbar sind.
Beispiel aus der Praxis
Ein Ersatzteilhändler betreibt eine Automation, die Bestellanfragen aus dem Posteingang liest, Artikel zuordnet und Angebotsentwürfe erzeugt, die ein Mitarbeiter freigibt. Nach einigen Wochen reklamiert ein Kunde ein Angebot mit falschem Artikel. Im Audit-Log auf dem Firmenserver findet der Betrieb den Durchlauf innerhalb weniger Minuten: die Anfrage mit einer mehrdeutigen Artikelbezeichnung, die Zuordnung des Modells mit dem Hinweis auf zwei mögliche Artikel, den Entwurf mit dem ersten Artikel und die Freigabe durch den Mitarbeiter um 17:52 Uhr ohne Änderung. Die Ursache ist damit benannt: Das Modell hatte den Zweifel gemeldet, der Entwurf trug ihn nicht sichtbar, und die Freigabe am Tagesende hat ihn übergangen. Der Betrieb ändert den Entwurf so, dass gemeldete Zweifel in der ersten Zeile stehen, und die Zahl der Korrekturen vor der Freigabe steigt in den folgenden Wochen messbar.
Wirtschaftlicher Nutzen
Das Audit-Log verwandelt eine Automation von einem System, dem man vertrauen muss, in eines, das man prüfen kann. Gegenüber Kunden und Auftraggebern belegt es, wie ein Ergebnis zustande kam; gegenüber der Aufsicht erfüllt es die Rechenschaftspflicht der DSGVO für die Verarbeitung; bei einer Störung ist es die einzige Grundlage, um den Kreis der betroffenen Angaben zu bestimmen, statt alles als betroffen annehmen zu müssen. Der Aufwand liegt im Speicherplatz und in der Pflege von Lesekreis und Frist. Er ist klein gegen den Aufwand einer Meldung, bei der niemand sagen kann, was betroffen war.
Typische Fehler
- Das Protokoll beim Anbieter einer Plattform belassen und damit alle verarbeiteten Angaben ein zweites Mal außer Haus geben.
- Nur Fehler protokollieren und die erfolgreichen Durchläufe auslassen, sodass ein falsches Ergebnis ohne Fehlermeldung nicht nachvollziehbar ist.
- Das Protokoll veränderbar speichern, sodass Einträge nachträglich korrigiert oder gelöscht werden können.
- Keine Aufbewahrungsfrist und keinen Lesekreis festlegen, obwohl das Protokoll personenbezogene Angaben enthält.
- Freigaben nicht mit Person und Zeitpunkt protokollieren, sodass sich später nicht sagen lässt, ob geprüft wurde.
Worauf achten?
- Je Schritt Zeitstempel, Auslöser, Eingabe, aufgerufene Funktion, Ergebnis und gegebenenfalls die freigebende Person festhalten.
- Das Protokoll nur anhängend speichern und die Datei in die reguläre Datensicherung aufnehmen.
- Speicherort im Betrieb, Lesekreis und Aufbewahrungsfrist schriftlich festlegen und mit der Rechtsberatung abstimmen.
- Personenbezogene Angaben im Protokoll ersetzen, wo sie im Vorgang ersetzt wurden, und die Zuordnung getrennt halten.
- Das Protokoll regelmäßig auswerten: abgewiesene Aufrufe, Korrekturen vor der Freigabe, abgebrochene Durchläufe.
Häufig gestellte Fragen
Was ist ein Audit-Log?
Ein fortlaufendes, nachträglich nicht veränderbares Protokoll, das jeden Schritt eines Ablaufs mit Zeitstempel, Eingabe, ausgeführter Aktion und Ergebnis festhält. Es macht einen Vorgang später lückenlos nachvollziehbar.
Worin unterscheidet sich ein Audit-Log von einem Server-Log?
Ein Server-Log hält technische Ereignisse fest, etwa Anfragen und Fehlercodes. Ein Audit-Log hält den fachlichen Vorgang fest: welche Eingabe das Modell bekam, welche Funktion aufgerufen wurde, was zurückkam und wer freigegeben hat. Es ist für Menschen lesbar gedacht.
Warum enthält das Audit-Log ein Datenschutzrisiko?
Weil es jede Eingabe und jedes Ergebnis enthält und damit alle Angaben, die der Ablauf verarbeitet hat. Deshalb braucht es einen Speicherort im Betrieb, einen benannten Lesekreis, eine Aufbewahrungsfrist und die Ersetzung personenbezogener Angaben, wo sie im Vorgang ersetzt wurden.
Wie lange muss ein Audit-Log aufbewahrt werden?
Das richtet sich nach dem Vorgang: Protokolle zu Buchungen folgen den handels- und steuerrechtlichen Fristen, Protokolle zu personenbezogenen Daten dem Grundsatz der Speicherbegrenzung. Die Frist wird je Automation festgelegt und mit der Rechtsberatung abgestimmt.