Fast jedes Angebot für Logging-, Archivierungs- oder Audit-Werkzeuge enthält heute das Wort „unveränderlich“. Unveränderlicher Speicher, unveränderliche Logs, unveränderliche Backups. Das Wort vermittelt Sicherheit, und deshalb taucht es so häufig auf. Das Problem: Es beschreibt eine Eigenschaft des Anbietersystems und nicht das, was ein Prüfer, eine Aufsichtsbehörde oder ein Gericht sehen muss: einen Nachweis, der sich unabhängig bestätigen lässt.
Dieser Leitfaden richtet sich an Sicherheits-, Compliance- und Einkaufsteams, die Aussagen zu Audit-Trails bewerten müssen. Er will die Unveränderlichkeit nicht abwerten - sie ist nützlich und oft notwendig -, sondern zwei Fragen trennen, die häufig verwechselt werden: „Kann dieser Datensatz geändert werden?“ und „Kann ich einem Dritten beweisen, dass er es nicht wurde?“
Zwei verschiedene Eigenschaften
Unveränderlichkeit ist eine präventive Kontrolle. Ein WORM-Speichersystem (write once, read many), eine Objektsperre mit Aufbewahrungsfrist oder eine Append-only-Datenbank versuchen zu verhindern, dass ein Datensatz nach dem Schreiben verändert oder gelöscht wird. Funktioniert die Kontrolle wie versprochen, bleibt der Datensatz erhalten.
Verifizierbarkeit ist eine Eigenschaft des Nachweises. Sie bedeutet, dass jede interessierte Partei mit den passenden Informationen bestätigen kann, dass ein Datensatz heute genau so aussieht wie zu einem bestimmten Zeitpunkt, ohne dem Wort dessen vertrauen zu müssen, der ihn aufbewahrt. Die Verifizierung beruht typischerweise auf kryptografischen digitalen Fingerabdrücken (Hash-Funktionen), Zeitstempeln und einem Referenzpunkt, der nicht allein von der Stelle kontrolliert wird, die den Datensatz erzeugt hat.
Die beiden Eigenschaften ergänzen sich, ersetzen einander aber nicht. Ein System kann unveränderlich sein und dennoch keine Möglichkeit bieten, dies außerhalb des Systems selbst zu belegen. Und ein Datensatz kann verifizierbar sein, selbst wenn er auf einem gewöhnlichen Datenträger liegt, sofern sein digitaler Fingerabdruck an einem unabhängigen Ort festgehalten wurde.
Unveränderlichkeit ist ein Versprechen über das Verhalten eines Systems. Verifizierbarkeit ist ein Nachweis, den ein Dritter selbst bestätigen kann.
Warum „unveränderlich“ bei einem Audit nicht genügt
Das Vertrauen liegt weiterhin beim Betreiber
Wenn ein Anbieter behauptet, Datensätze seien unveränderlich, hängt die Garantie von der korrekten Konfiguration des Systems, von den Berechtigungen seiner Administratoren und vom Ausbleiben von Fehlern ab. Viele Aufbewahrungsmechanismen enthalten Modi, in denen Benutzer mit besonderen Rechten die Aufbewahrung verkürzen oder aufheben können. Selbst in den strengsten Modi bleibt die Garantie eine Aussage über ein System, das der Prüfer nicht kontrolliert.
Unveränderlichkeit sagt nichts darüber aus, was geschrieben wurde
Ein unveränderlicher Datensatz bewahrt getreu auf, was hineingelegt wurde. Waren die Daten beim Schreiben bereits manipuliert, wurde ein Ereignis nie erfasst oder ist ein automatischer Prozess stundenlang unbemerkt ausgefallen, bewahrt der unveränderliche Speicher diese unvollständige Realität mit derselben Strenge. Die relevante Frage lautet nicht nur „Wurde es nachträglich verändert?“, sondern auch „Ist es vollständig und stimmt es mit der Quelle überein?“.
Der Nachweis muss das System überdauern
Audits, Rechtsstreitigkeiten und behördliche Prüfungen können Jahre nach den Ereignissen stattfinden. Dann ist der ursprüngliche Anbieter möglicherweise ersetzt, das System migriert, und die Personen, die es konfiguriert haben, sind womöglich nicht mehr in der Organisation. Eine Unveränderlichkeitsbehauptung übersteht eine Migration selten. Ein verifizierbarer Nachweis schon, sofern das Verifizierungsverfahren dokumentiert ist.
Acht Fragen an jeden Anbieter
Die folgenden Fragen helfen, aus einer pauschalen Behauptung eine konkrete Bewertung zu machen. Es gibt nicht für alle eine einzige richtige Antwort, aber vage Antworten sollten als Warnsignal behandelt werden.
- Wer kann verifizieren, und mit welchem Zugriff? Kann ein externer Prüfer die Integrität eines Datensatzes ohne Administrationszugang und ohne Hilfe des Anbieters bestätigen?
- Was genau wird versiegelt? Die gesamte Datei, jede Zeile einer Tabelle, jedes Log-Ereignis oder nur eine tägliche Zusammenfassung? Die Granularität bestimmt, was sich beweisen lässt.
- Wo liegt der Referenzpunkt? Liegt der Referenz-Fingerabdruck im selben System wie die Daten, kann, wer das eine kompromittiert, auch das andere kompromittieren.
- Wie wird mit der Zeit umgegangen? Stammt der Zeitstempel von der Serveruhr oder aus einer unabhängigen, überprüfbaren Quelle? Lässt sich beweisen, dass ein Datensatz vor einem bestimmten Datum existierte?
- Wie wird eine Auslassung erkannt? Hinterlässt das Löschen eines Datensatzes oder das Aussetzen des Schreibens irgendeine Spur? Mechanismen wie Hash-Ketten oder fortlaufende Nummerierung ermöglichen es, Lücken zu erkennen.
- Was geschieht mit personenbezogenen Daten? Müssen Inhalte nach der DSGVO gelöscht werden: Übersteht der Integritätsnachweis das, ohne den Originalinhalt offenzulegen? Das Versiegeln von digitalen Fingerabdrücken statt von Daten löst diesen Zielkonflikt.
- In welchem Format wird der Nachweis exportiert? Kann der Nachweis einer Aufsichtsbehörde in einem dokumentierten, mit gängigen Werkzeugen überprüfbaren Format übergeben werden, oder ist er nur innerhalb der Plattform lesbar?
- Wie entwickelt sich die Kryptografie weiter? Gibt es einen Plan, Algorithmen zu ersetzen, die künftig als schwach gelten, ohne die Gültigkeit bereits ausgestellter Nachweise zu verlieren?
Wie eine unabhängige Verifizierung in der Praxis aussieht
Das Prinzip ist einfach. Im Moment, in dem ein Datensatz erstellt oder zertifiziert wird, wird sein digitaler Fingerabdruck mit einer kryptografischen Hash-Funktion wie SHA-256 berechnet. Dieser digitale Fingerabdruck, ein kurzer und für genau diesen Inhalt eindeutiger Wert, wird mit einem Zeitstempel in einem unabhängigen Register versiegelt. Der Originalinhalt bleibt dort, wo er immer war.
Später wird zur Verifizierung der digitale Fingerabdruck der Datei in ihrem heutigen Zustand neu berechnet und mit dem versiegelten verglichen. Stimmen beide überein, hat sich der Inhalt seit der Versiegelung nicht verändert. Weichen sie ab, und sei es nur um ein einziges Bit, wird die Änderung offensichtlich. Dieses Verfahren erfordert kein Vertrauen in den, der die Datei aufbewahrt: Es braucht nur Zugriff auf die Datei, das Referenzregister und ein öffentliches Berechnungsverfahren.
Dieser Aufbau macht zum Beispiel ein öffentliches Verifizierungsportal möglich, über das jeder Empfänger eines Berichts dessen Echtheit bestätigt, ohne ein Konto auf der Plattform des Ausstellers zu haben.
Warnsignale in einem Angebot
- Das Wort „unveränderlich“ taucht ohne Erklärung des Mechanismus auf, der es gewährleistet.
- Die Verifizierung ist nur über die Oberfläche des Anbieters mit Anmeldung möglich.
- Es ist unklar, was mit den Nachweisen geschieht, wenn der Vertrag endet.
- Die Erkennung von Änderungen hängt davon ab, dass jemand daran denkt, manuell zu vergleichen.
- Der Anbieter kann nicht erklären, wie das Entfernen eines Datensatzes erkannt würde.
Keiner dieser Punkte ist für sich genommen ein Ausschlusskriterium. Aber jeder steht für einen Teil der Vertrauenskette, der weiterhin auf einem Versprechen statt auf einem Nachweis beruht.
Wie ROOTKey hilft
ROOTKey wurde um die in diesem Artikel beschriebene Unterscheidung herum entworfen. Jedes Asset erhält einen eindeutigen digitalen Fingerabdruck, der dauerhaft in einem unabhängigen öffentlichen Register versiegelt wird - ein zeitgestempelter Nachweis seines exakten Zustands. Bei einer individuellen Bereitstellung bleiben die Daten in Ihrer eigenen Infrastruktur; nur der digitale Fingerabdruck wird erfasst.
Ab dieser Versiegelung vergleicht die kontinuierliche Überwachung Ihre Daten mit dem Register und löst bei jeder Änderung einen Alarm aus. Jede Aktion wird mit einem kryptografischen Zeitstempel versiegelt und bildet eine Beweiskette, die für Prüfer bereit und für Aufsichtsbehörden exportierbar ist. Und jeder Empfänger kann die Integrität eines über ROOTKey ausgestellten Dokuments im öffentlichen Verifizierungsportal bestätigen, ohne sich auf das Wort eines anderen zu verlassen.