Logging – Log-Level, ELK Stack, SIEM & Best Practices

Inhaltsverzeichnis

Schnellübersicht

Auf dieser Seite lernst du alles über Logging:

Definition: Was ist Logging und warum ist es wichtig?
Live-Demo: Wie sehen Logs in der Praxis aus?
Log-Level: DEBUG, INFO, WARN, ERROR, FATAL
Log-Formate: JSON, Plain Text, Syslog, CEF, GELF
Frameworks: Log4j, Winston, Serilog, Monolog
ELK Stack: Elasticsearch, Logstash, Kibana
SIEM: Splunk, QRadar, Sentinel, Wazuh
Best Practices: Struktur, Retention, Security
Compliance: DSGVO, ISO 27001, SOX
FAQ: Häufige Fragen

1. Was ist Logging?

Definition

Logging ist der Prozess der systematischen Aufzeichnung von Ereignissen (Events) in IT-Systemen, Anwendungen und Infrastrukturen. Diese Aufzeichnungen werden als Logs oder Log-Einträge bezeichnet und enthalten Informationen über Zustände, Aktionen, Fehler und Transaktionen.

Logs sind das "Gedächtnis" eines IT-Systems – sie ermöglichen:

Fehlerdiagnose: Schnelle Identifikation und Behebung von Problemen
Security Monitoring: Erkennung von Angriffen und anomalem Verhalten
Compliance: Nachweisbarkeit für Audit und Regulierungen (DSGVO, ISO 27001)
Performance-Analyse: Identifikation von Engpässen und Optimierungen
Forensik: Rekonstruktion von Sicherheitsvorfällen
Business Intelligence: Analyse von Nutzerverhalten und Systemnutzung

             Warum ist Logging so wichtig?
            Ohne Logs ist Debugging unmöglich – "Works on my machine" hilft nicht in Produktion
Security-Vorfälle werden ohne Logs oft erst nach Monaten bemerkt
Compliance-Audits verlangen nachweisbare Log-Aufbewahrung
MTTR (Mean Time To Recovery) wird durch gute Logs drastisch reduziert
90% aller IT-Probleme können durch Log-Analyse schneller gelöst werden

        

2. Live-Demo – Wie sehen Logs aus?

Ein typischer Log-Output einer Web-Anwendung mit verschiedenen Log-Levels:

application.log – Web-Server

2026-07-16 14:30:42.123 [main] INFO Application starting on port 8080... 2026-07-16 14:30:42.456 [db] INFO Database connection established (PostgreSQL 15.4) 2026-07-16 14:30:42.789 [cache] DEBUG Redis cache initialized: 10.0.0.5:6379 2026-07-16 14:30:45.012 [http] INFO GET /api/users - 200 OK (45ms) - user=admin 2026-07-16 14:30:47.234 [auth] WARN Failed login attempt for user 'test' from IP 192.168.1.100 2026-07-16 14:30:48.567 [http] INFO POST /api/orders - 201 Created (120ms) - user=admin 2026-07-16 14:30:52.890 [db] ERROR Query timeout after 30s: SELECT * FROM large_table 2026-07-16 14:30:55.123 [auth] WARN Rate limit exceeded for IP 192.168.1.100 (100 req/min) 2026-07-16 14:31:02.456 [payment]FATAL Payment gateway unreachable - circuit breaker OPEN 2026-07-16 14:31:05.789 [http] INFO Health check: status=degraded, uptime=23s

             Typischer Aufbau eines Log-Eintrags
            Timestamp: Wann ist das Ereignis passiert?
Source/Logger: Welche Komponente hat das Log erzeugt?
Level: Wie schwerwiegend ist das Ereignis?
Message: Was ist passiert?
Context (optional): User-ID, Request-ID, IP, etc.
Stack Trace (bei Fehlern): Wo im Code trat der Fehler auf?

        

3. Log-Level – Die 5 Stufen

Log-Level klassifizieren die Schwere eines Ereignisses. Sie ermöglichen es, nur relevante Logs anzuzeigen und Speicherplatz zu sparen.

DEBUG

Detaillierte Debug-Informationen für Entwickler. Nur in Entwicklungsumgebungen aktiv.

DEBUG: SQL query executed in 12ms

Einsatz: Variablenwerte, Query-Details, interne Zustände

INFO

Normale Betriebsinformationen – bestätigt, dass das System wie erwartet funktioniert.

INFO: User 'admin' logged in successfully

Einsatz: Systemstart, erfolgreiche Operationen, Status-Updates

WARN

Warnungen – potenzielle Probleme, die beobachtet werden sollten, aber nicht kritisch sind.

WARN: Disk usage at 85% on /var/log

Einsatz: Schwellenwerte, Deprecated APIs, langsame Queries

ERROR

Fehler – eine Operation ist fehlgeschlagen, aber das System kann weiterlaufen.

ERROR: Database connection failed

Einsatz: API-Fehler, Timeouts, fehlende Ressourcen

FATAL

Kritische Fehler – das System kann nicht weiterlaufen und muss neu gestartet werden.

FATAL: Out of memory - shutting down

Einsatz: System-Crash, Datenkorruption, irreparable Fehler

             Best Practice: Log-Level in verschiedenen Umgebungen
            
                        Umgebung
                        Mindest-Level
                        Begründung
                    
                        Development
                        DEBUG
                        Alle Details für Debugging nötig
                    
                        Staging/Test
                        INFO
                        Wichtige Operationen, aber nicht zu viel
                    
                        Production
                        INFO oder WARN
                        Performance und Speicherplatz sparen
                    
                        Security Audit
                        INFO (alle Auth-Events)
                        Compliance und Forensik

Umgebung	Mindest-Level	Begründung
Development	DEBUG	Alle Details für Debugging nötig
Staging/Test	INFO	Wichtige Operationen, aber nicht zu viel
Production	INFO oder WARN	Performance und Speicherplatz sparen
Security Audit	INFO (alle Auth-Events)	Compliance und Forensik

4. Log-Formate – JSON, Plain Text, Syslog

Die Wahl des Formats beeinflusst Lesbarkeit, Parsebarkeit und Speicherbedarf. Hier die wichtigsten Formate:

JSON

Structured Logging · Modern Standard

Strukturierte Logs im JSON-Format – ideal für zentrale Log-Systeme und maschinelles Parsing.

{ "timestamp": "2026-07-16T14:30:45Z", "level": "INFO", "service": "api-gateway", "message": "Request processed", "user_id": "u12345", "duration_ms": 145 }

✓ Vorteile Maschinell parsebar, erweiterbar, strukturiert

✗ Nachteile Größer, für Menschen schwerer lesbar

Plain Text

Unstructured · Klassisch

Einfacher Text – traditionell, leicht lesbar, aber schwer zu parsen.

2026-07-16 14:30:45 INFO [api-gateway] Request processed for user u12345 in 145ms

✓ Vorteile Einfach, kompakt, menschenlesbar

✗ Nachteile Schwer parsebar, keine Struktur

Syslog (RFC 5424)

Netzwerk-Standard · Unix/Linux

Standardisiertes Format für Netzwerk-Logging – weit verbreitet in Unix/Linux-Umgebungen.

<165>1 2026-07-16T14:30:45Z webserver01 app - - [meta] Request processed

✓ Vorteile Standardisiert, Netzwerk-fähig

✗ Nachteile Komplex, begrenzte Struktur

CEF (Common Event Format)

Security Events · ArcSight

Speziell für Security-Events entwickelt – Standard in SIEM-Systemen wie ArcSight.

CEF:0|Vendor|Product|1.0|100|Login Failed|5|src=192.168.1.100 dst=10.0.0.1

✓ Vorteile SIEM-Standard, Security-fokussiert

✗ Nachteile Nur für Security, proprietär

GELF (Graylog Extended)

Graylog · JSON-basiert

Graylog-spezifisches Format – JSON-basiert mit zusätzlichen Feldern für Graylog.

{ "version": "1.1", "host": "webserver01", "short_message": "Request processed", "level": 6, "_user_id": "u12345" }

✓ Vorteile Graylog-optimiert, komprimierbar

✗ Nachteile Graylog-spezifisch

Empfehlung: JSON für moderne Systeme

JSON hat sich als De-facto-Standard für strukturierte Logs etabliert. Es ermöglicht:

Einfaches Parsing durch Elasticsearch, Splunk, Graylog
Erweiterbarkeit um beliebige Felder (Context, Metadata)
Konsistente Struktur über alle Services hinweg
Einfache Filterung und Aggregation

5. Logging-Frameworks nach Sprache

Jede Programmiersprache hat etablierte Logging-Bibliotheken. Hier die wichtigsten:

Log4j2 / SLF4J

Der Java-Standard. Log4j2 ist performant, SLF4J ist das API-Facade.

Async Logging JSON Layout Filter

Winston / Pino

Winston ist flexibel, Pino ist extrem performant für Node.js.

Transports JSON Low overhead

logging / structlog

logging ist Standard, structlog bietet strukturierte Logs.

Built-in Structured Processors

Serilog / NLog

Serilog ist modern und strukturiert, NLog ist etabliert.

Sinks Structured .NET Core

Monolog

Der PHP-Standard, genutzt von Laravel und Symfony.

Handlers Processors PSR-3

Logger / Semantic Logger

Logger ist Ruby-Standard, Semantic Logger für strukturierte Logs.

Built-in Rails JSON

zap / logrus

zap ist extrem performant, logrus ist populär und einfach.

Structured Fast JSON

tracing / log

tracing ist modern für async Rust, log ist minimalistisch.

Async Spans Tokio

             Wichtige Features moderner Frameworks
            Structured Logging: JSON-Format für einfache Analyse
Correlation IDs: Request-IDs über Service-Grenzen hinweg
Async Logging: Keine Blockierung des Hauptthreads
Multiple Outputs: Console, File, Network, Cloud gleichzeitig
Log Rotation: Automatische Archivierung alter Logs
Sampling: Nur einen Teil der Logs erfassen (bei hohem Volumen)

        

6. ELK Stack – Zentrale Log-Aggregation

Der ELK Stack (Elasticsearch, Logstash, Kibana) ist der De-facto-Standard für zentrale Log-Verwaltung in Enterprise-Umgebungen.

ELK Stack Architektur

Log Sources

Apps, Server, Netzwerk, Container

Logstash / Beats

Sammeln, filtern, transformieren

Elasticsearch

Speichern, indizieren, suchen

Kibana

Visualisierung, Dashboards

Elasticsearch

Distributed Search & Analytics Engine. Speichert Logs als JSON-Dokumente, indiziert alle Felder für schnelle Suche.

Logstash

Server-side Data Processing Pipeline. Empfängt Logs, transformiert sie und sendet sie an Elasticsearch.

Kibana

Visualization Layer. Erstellt Dashboards, Grafiken und ermöglicht interaktive Log-Analyse.

Beats

Leichtgewichtige Agenten (Filebeat, Metricbeat, Packetbeat) für Log-Versand von Quellen.

Alternative: Elastic Cloud & Observability

Elastic bietet auch managed Services an:

Elastic Cloud: Managed Elasticsearch, Logstash, Kibana
Elastic Observability: APM, Logs, Metrics, Uptime in einer Plattform
Elastic Security: SIEM-Funktionen direkt in Elastic
Serverless: Komplett verwaltete, skalierbare Lösung

7. SIEM – Security Information & Event Management

SIEM-Systeme kombinieren Log-Management mit Security-Analytics – sie erkennen Angriffe, Compliance-Verstöße und anomales Verhalten in Echtzeit.

Splunk

Marktführer · Enterprise

Der Marktführer im SIEM-Bereich. Leistungsstark, aber teuer.

SPL (Search Processing Language)
Machine Learning
SOAR Integration
700+ Apps & Add-ons

IBM QRadar

IBM · Enterprise SIEM

IBM's Enterprise-SIEM mit starker Threat Intelligence Integration.

X-Force Threat Intel
User Behavior Analytics
SOAR (Resilient)
Compliance Reporting

Microsoft Sentinel

Cloud-native · Azure

Cloud-native SIEM von Microsoft – tief in Azure und M365 integriert.

Azure-native
KQL (Kusto Query Language)
AI & ML Detections
Pay-per-GB Pricing

Elastic Security

Open Core · Elastic

SIEM-Funktionen direkt in Elastic – ideal für Teams, die bereits ELK nutzen.

Elastic SIEM
Endpoint Security
Detection Engine
Case Management

Graylog

Open Source · Log Management

Open-Source Log-Management mit SIEM-Features – gute Alternative zu ELK.

Open Source (Core)
GELF Format
Pipeline Rules
Enterprise Features

Wazuh

Open Source · XDR/SIEM

Open-Source XDR/SIEM – kombiniert SIEM mit Endpoint Protection.

100% Open Source
HIDS Integration
File Integrity
Compliance (PCI, HIPAA)

SIEM	Lizenz	Deployment	Stärken	Einsatzgebiet
Splunk	Kommerziell	On-Prem / Cloud	Marktführer, SPL, ML	Enterprise
QRadar	Kommerziell	On-Prem / Cloud	IBM Integration, Threat Intel	Enterprise
Sentinel	Pay-per-GB	Cloud (Azure)	Cloud-native, M365	Azure-Umgebungen
Elastic Security	Open Core	On-Prem / Cloud	ELK-Integration	ELK-User
Graylog	Open Source	On-Prem	Log-Management	KMU, Mid-Market
Wazuh	Open Source	On-Prem	XDR, HIDS, Compliance	KMU, Open-Source

8. Logging Best Practices

Die wichtigsten Empfehlungen für professionelles Logging in Enterprise-Umgebungen:

Strukturierte Logs

JSON-Format verwenden
Konsistente Felder (timestamp, level, message)
Context-Felder (user_id, request_id)
Correlation IDs für Tracing
Keine sensiblen Daten loggen!

Log-Level richtig nutzen

DEBUG nur in Entwicklung
INFO für normale Operationen
WARN für potenzielle Probleme
ERROR für fehlgeschlagene Operationen
FATAL nur für System-Crashes

Log-Retention

Hot Storage: 7-30 Tage (schneller Zugriff)
Warm Storage: 30-90 Tage
Cold Storage: 1-7 Jahre (Compliance)
Automatische Rotation
DSGVO-Löschfristen beachten

Log-Sicherheit

Keine Passwörter, Tokens, PII loggen
Verschlüsselung (at rest & in transit)
Integritätsschutz (Tamper Detection)
Zugriffskontrolle (RBAC)
Immutable Logs für Forensik

Zentrale Aggregation

Alle Logs an einem Ort sammeln
ELK Stack, Splunk oder SIEM nutzen
Standardisiertes Format (JSON)
Automatische Indizierung
Dashboards für Monitoring

Compliance & Audit

DSGVO: Löschkonzepte implementieren
ISO 27001: Logging-Richtlinie
SOX: Finanz-Transaktionen loggen
PCI-DSS: Payment-Logs schützen
Audit-Trails unveränderlich

             Die 10 goldenen Logging-Regeln
            Logge strukturiert – JSON statt Plain Text
Verwende Correlation IDs – über Service-Grenzen hinweg
Logge auf der richtigen Ebene – nicht zu viel, nicht zu wenig
Keine sensiblen Daten – Passwörter, Tokens, PII niemals loggen
Zentral aggregieren – alle Logs an einem Ort
Alerts definieren – automatische Benachrichtigung bei Fehlern
Logs schützen – Verschlüsselung, Zugriffskontrolle
Retention planen – Hot/Warm/Cold Storage
Dashboards erstellen – Visualisierung für schnelles Troubleshooting
Regelmäßig reviewen – Logs sind nur nützlich, wenn sie analysiert werden

        

9. Compliance & Regulierungen

Logging ist für viele Compliance-Standards verpflichtend. Hier die wichtigsten Regulierungen:

Logging-Anforderungen nach Standard

DSGVO (GDPR)

Protokollierung von Datenverarbeitungen, Löschkonzepte, Recht auf Auskunft. Logs mit personenbezogenen Daten besonders schützen.

ISO 27001

Event-Logging (A.12.4), Überwachung (A.12.4.1), Log-Schutz (A.12.4.2), Administrator- und Operator-Logs (A.12.4.3).

SOX

Protokollierung aller Finanz-Transaktionen, unveränderliche Audit-Trails, 7 Jahre Aufbewahrung.

PCI-DSS

Requirement 10: Audit-Trails für alle Zugriffe auf Cardholder Data. Logs 1 Jahr aufbewahren, 3 Monate sofort verfügbar.

HIPAA

Protokollierung aller Zugriffe auf PHI (Protected Health Information). 6 Jahre Aufbewahrung.

BAIT / MaRisk

Bankaufsichtliche Anforderungen an IT-Logging in Deutschland. Umfassende Protokollierung aller bankrelevanten Systeme.

             Was muss geloggt werden?
            Authentifizierung: Logins (erfolgreich & fehlgeschlagen), Logouts
Autorisierung: Zugriffe auf sensible Ressourcen
Änderungen: Konfigurationsänderungen, Datenmodifikationen
System-Events: Start, Stop, Fehler, Neustarts
Security-Events: Firewall-Drops, IDS-Alerts, Malware-Detections
Transaktionen: Finanz-Transaktionen, Bestellungen, Verträge
Admin-Aktivitäten: Alle Aktionen von Administratoren

        

10. FAQ – Häufige Fragen

Häufige Fragen zu Logging

Wie viel Speicherplatz brauchen Logs?

Das hängt stark von der Anzahl der Systeme, dem Log-Level und der Retention ab:

Kleines Unternehmen (50 Server): 100-500 GB/Monat
Mittelständisches Unternehmen (200 Server): 1-5 TB/Monat
Enterprise (1000+ Server): 10-100+ TB/Monat

Tipp: JSON-Logs sind größer als Plain Text, aber besser analysierbar. Kompression (gzip) reduziert Speicher um 80-90%.

Sollte ich DEBUG-Logs in Production aktivieren?

Normalerweise nein. DEBUG-Logs in Production verursachen:

Massive Performance-Einbußen (I/O, CPU)
Enormen Speicherbedarf
Schwierige Analyse (zu viele irrelevante Logs)

Ausnahme: Bei akuten Problemen temporär aktivieren, mit Sampling oder Dynamic Log Level (z.B. nur für bestimmte User/Requests).

Wie verhindere ich, dass sensible Daten geloggt werden?

Best Practices gegen Datenlecks in Logs:

Filter/Redactor: Automatische Maskierung (z.B. Credit Card: ****1234)
Code Review: Prüfen, was geloggt wird
PII-Scanner: Automatische Erkennung von personenbezogenen Daten
Strukturierte Felder: Sensible Daten in eigenen Feldern, die gefiltert werden können
Logging-Richtlinie: Klare Regeln, was geloggt werden darf

Niemals loggen: Passwörter, API-Keys, Tokens, Credit Cards, Session-IDs, vollständige Adressen.

Was ist der Unterschied zwischen Logging und Monitoring?

Logging: Aufzeichnung von Ereignissen (WHAT happened?)

Monitoring: Überwachung von Metriken und Zuständen (HOW is the system doing?)

Zusammenarbeit:

Monitoring erkennt ein Problem (z.B. hohe Latenz)
Logging liefert Details (z.B. welche Queries langsam waren)
Beide zusammen ermöglichen schnelles Troubleshooting

Die "Three Pillars of Observability": Logs, Metrics, Traces – alle drei sind notwendig.

Was sind Correlation IDs und warum brauche ich sie?

Correlation IDs (auch Request IDs, Trace IDs) sind eindeutige Identifikatoren, die einen Request über mehrere Services hinweg verfolgen.

Beispiel: Ein User ruft eine API auf, die 5 Microservices durchläuft:

API Gateway → Service A → Service B → Service C → DB
Alle Logs enthalten dieselbe Correlation ID: "abc-123-def"
Bei Fehlern kann der komplette Pfad nachvollzogen werden

Standard: W3C Trace Context, OpenTelemetry

Wie lange muss ich Logs aufbewahren?

Die Aufbewahrungsfrist hängt von Compliance-Anforderungen ab:

DSGVO: Keine spezifische Frist, aber "so lange wie nötig"
ISO 27001: Typisch 1-3 Jahre
SOX: 7 Jahre für Finanz-Logs
PCI-DSS: 1 Jahr, 3 Monate sofort verfügbar
HIPAA: 6 Jahre
GoBD (Deutschland): 10 Jahre für steuerrelevante Logs

Tipp: Tiered Storage nutzen – Hot (7 Tage), Warm (90 Tage), Cold (Jahre) – um Kosten zu optimieren.

Was ist der Unterschied zwischen ELK und SIEM?

ELK Stack: Fokus auf Log-Management und Suche

Sammeln, Speichern, Suchen, Visualisieren von Logs
Keine integrierte Security-Analytics
Gut für Operations und Development

SIEM: Fokus auf Security Monitoring

Log-Analyse + Security-Use-Cases + Alerts
Threat Detection, Compliance Reporting
Oft mit SOAR (Security Orchestration)

Überschneidung: Elastic Security bietet SIEM-Features direkt in ELK. Viele SIEMs nutzen Elasticsearch im Backend.

Wie kann ich Logs vor Manipulation schützen?

Immutable Logs sind essenziell für Forensik und Compliance:

Write-Once Storage: S3 Object Lock, WORM Storage
Blockchain-basierte Logs: Hash-Ketten für Integrität
Signed Logs: Digitale Signaturen für jede Log-Zeile
Separate Storage: Logs auf separatem, geschütztem System
Access Control: Nur Lesezugriff für Admins, keine Löschrechte
Audit Trail: Alle Zugriffe auf Logs selbst loggen

Wichtig: Angreifer versuchen oft, Logs zu löschen oder zu manipulieren, um Spuren zu verwischen.

Zusammenfassung

             Die wichtigsten Punkte
            Logging: Systematische Aufzeichnung von Ereignissen in IT-Systemen
Log-Level: DEBUG, INFO, WARN, ERROR, FATAL – nach Schwere sortiert
Log-Formate: JSON (Standard), Plain Text, Syslog, CEF, GELF
Frameworks: Log4j2 (Java), Winston/Pino (Node), Serilog (.NET), Monolog (PHP)
ELK Stack: Elasticsearch + Logstash + Kibana – De-facto-Standard
SIEM: Splunk, QRadar, Sentinel, Elastic Security, Wazuh
Best Practices: Strukturiert, zentrale Aggregation, sensible Daten schützen
Compliance: DSGVO, ISO 27001, SOX, PCI-DSS, HIPAA
Correlation IDs: Request-IDs über Service-Grenzen hinweg
Immutable Logs: Schutz vor Manipulation für Forensik
Retention: Hot/Warm/Cold Storage nach Compliance-Anforderungen
Three Pillars: Logs, Metrics, Traces – alle drei für Observability nötig

        