Protokoll- und Ereignisspeicherrichtlinie

1) Ziel und Umfang

Ziel: Sicherstellung der rechtmäßigen, sicheren und wirtschaftlichen Speicherung von Protokollen/Ereignissen, Unterstützung von Untersuchungen, Audits, AML/KYC-Reporting und der Nachhaltigkeit der Plattform.
Abdeckung: alle Umgebungen (prod/stage/dev), Apps und Microservices, Fraud & Payments, CUS/Sanctions, RG, Infrastruktur (K8s/Cloud/CDN/WAF), Partner/Anbieter (PSP, KYC, Fraud, Analytics).

2) Logklassen und Mindestfeldzusammensetzung

1. Sicherheit (SecOps/Identität): Authentifizierung, ATO/Betrugsbekämpfungssignale, Rollen- und Richtlinienänderungen, Zugriff auf PII.

Поля: `actor`, `subject`, `action`, `result`, `ip`, `device`, `geo`, `risk_score`, `trace_id`.

2. Transaktionen/Zahlungen: Einzahlungen/Auszahlungen, Gebühren, Anti-Fraud-Regeln.

Поля: `tx_id`, `amount`, `currency`, `psp`, `status`, `rule_hits[]`, `evidence_ref`.
3. CUS/Sanktion/RER: Initiationen, Ergebnisse, Anbieter/Version der Listen, Entscheidungen (true/false positive).
4. Operations/SRE: SLO-Metriken, Releases, Auto-Chat, Incidents, Alerts.
5. Marketing/CRM (optional): Zustimmungs-/Abmeldeereignisse, Kampagnen (ohne überflüssige PII).
6. Datenzugriffs-Audit: Sätze von PII lesen/exportieren/löschen; Links zu DSAR/AML-Fällen.

3) Aufbewahrungsfristen und Aufbewahrungsstufen (Hot/Warm/Cold/WORM)

4) Zeitsynchronisation und Traceability

Einheitliche Zeitbasis: NTP/Chrony, speichern 'ts _ utc' (UTC) + 'ts _ local' (für die Berichterstattung).
Korrelation: Jedes Protokoll enthält 'trace _ id '/' span _ id' und 'source _ service'.
Zeitzonen: Berichte/Export - mit ausdrücklicher TZ-Angabe.

5) Zugriff, Verschlüsselung und Aufgabenteilung

Verschlüsselung: at rest (KMS; Schlüsselrotation mindestens 90 Tage für geheime Räume) und in transit (TLS 1. 2+).
RBAC/ABAC: Zugang auf ein Minimum; separate Rollen zum Lesen von Audit-Protokollen.
Break-glass: temporärer Zugang mit Multi-Faktor-Autorisierung und Auto-Closing.
Segmentierung: Protokolle mit PII/Finanzen - einzelne Indizes/Tanks, einzelne Schlüssel.
Log-Zugriffsprotokolle: Alle Lesungen/Exporte werden aufgezeichnet und gebrüllt.

6) Privatsphäre und Maskierung

Es ist streng verboten zu protokollieren: Passwörter, Token, PAN (vollständig), CVV/CVC, vollständige Dokumentennummern, „rohe“ biometrische Daten.
Standardmaskierung: E-Mail →'p @ domain. com`; Telefon → „+ XXX123“; IBAN/PAN → Token/letzte 4 Ziffern.
Pseudonymisierung: Ersetzen Sie' user _ id 'durch ein persistentes Token in analytischen/Marketing-Protokollen.
Cookies/SDK: Loggen Sie nur technische Identifikatoren mit Zustimmung (CMP) und ohne Kleben mit PII, wenn es keine rechtliche Grundlage gibt.
DSAR-Kompatibilität: Speichern Sie einen Verweis auf die Quelle des Sets und die Möglichkeit der selektiven Extraktion/Löschung.

7) Datenqualität (Data Quality) und Formatierung

Schema-as-Code: zentralisierte JSON-Schemas/Ereignisprotokolle, Versionierung.
Validierungen: nicht null/Bereiche/Regex; abgelehnte Ereignisse - in einer Quarantine-Warteschlange mit einer Ursachenbeschriftung.
Deduplizierung: nach'(trace_id, ts, source)'; idempotency Ebenen für Retrays.
Anreicherung: streng deterministisch; Geo/Device-Attribute - mit Angabe der Version der Wörterbücher.

8) Architektur und Speicherebenen

Hot: indizierbare Speicher/Suchcluster (Ad-hoc-Untersuchungen, SIEM).
Warm: Objektspeicher mit beschleunigten Zugriffen/Cold-Indizes.
Cold: Objekt-/Archivspeicher (Glacier-Klasse/analog), Anfragen über Batch.
WORM/Legal Hold: unveränderliche Baquets/Retention Policies und "legal hold' mit der Unmöglichkeit der Löschung/Änderung vor Ablauf der Frist.

9) Löschung, Archivierung und Legal Hold (SOP)

1. Der Tagesplaner berechnet die Kandidaten nach Terminen.
2. Prüfung auf aktive Vorfälle/Untersuchungen/Legal Hold.
3. Archivierung: Bei Bedarf nach Cold/WORM übertragen.
4. Deinstallation: Sichere Reinigung + Protokoll ('dataset', 'range', 'actor', 'hash _ before/after').
5. Bericht in Compliance/Data nach Abschluss des Batches.

10) Integration mit Compliance (DSGVO/AML/PCI/ISO)

DSGVO: Minimierung, Ziele/Grundlagen in RoPA; DSAR-Verfügbarkeit; 72-Stunden-Benachrichtigungen basieren auf Audit-Protokollen.
AML: Speicherung von Sanktionskontrollprotokollen, STR/SAR-Links; 5-10 Jahre (nach Land).
PCI DSS (falls zutreffend): Verbot sensibler Authentifizierungsdaten; Segregation von Zahlungsumfangsprotokollen.
ISO 27001/ISMS: Protokollierungsrichtlinie als obligatorisches Dokument; jährliche Audits und Tests.

11) Anbieter und Unterauftragsverarbeiter

DPA/SLA: Aufbewahrungsfristen, Geographie, TOMs, Exportformat, WORM/Legal Hold, Reaktionszeit auf den Vorfall vorschreiben.
Audit: Fragebögen, selektive PII-Zugriffsprotokolle, Incident/Notification Test.
Offboarding: Löschen/Rückgabe von Protokollen, Schließungsakt, Bestätigung der Vernichtung von Kopien/Backups.

12) Überwachung und Warnungen

KRIs: Anstieg der Validierungsfehler> X%, ingestion> Y-Verzögerungen, ETL-Fehler <99%, Zugriffsversuche außerhalb des Fensters.
KPI: Logging-Abdeckung ≥ 95% der Dienste; MTTD-Ausfall der Pipeline ≤ 15 Minuten; Der Anteil der Anfragen an Hot, die ≤ 2 Sekunden abgeschlossen wurden, beträgt ≥ 95%.
SOAR: Auto-Tickets bei Verletzung der Retention/Zugriffe/Maskierung.

13) RACI

14) Export und Berichterstattung

Weiße Empfänger- und Formatlisten (CSV/Parkett/JSON) mit standardmäßiger Anonymisierung.
Signatur/Hash jedes Archivs, Upload-Protokoll.
Vorlagen für Regulierungsberichte: Sanktions-/PPP-Zusammenfassungen, KYC, AML-Warnmeldungen, PII-Zugriffe, Vorfälle.

15) Anforderungen an Entwicklung und Betrieb

Logging sinnvoll: Schlüsselaktionen/Entscheidungen, nicht der gesamte Verkehr.
Level-Standards: 'DEBUG' ist in prod verboten; 'INFO' für Geschäftsereignisse; 'WARN/ERROR' für Anomalien.
Redaction-middleware: eine einzelne Maskierungsschicht in Gateteys/SDKs.
Testumgebungen: synthetische Daten oder Pseudonymisierung; Verbot von Kopien von prod-Logs in dev.
Freigaben: Checkliste Protokollierung/Maskierung in CAB; Feature-Flags für die erweiterte Protokollierung.

16) Checklisten

16. 1 Wöchentliche Kontrolle

• Zeitsynchronisation ohne Drift
• Fehler ingestion
• Keine direkten PII/Geheimnisse in Samples
• Zugriffe/Rollen relevant

ETL-Erfolg ≥ 99%

16. 2 Monatliche Prüfung

• Retention/Löschprüfung
• Stichprobe der Ausfuhren (Signatur/Hash ok)
• Revue der Anbieter (Zugriffsprotokolle, Vorfälle)
• Aktualisierung der Schemata/Verzeichnisse

16. 3 Vor dem Löschen/Archivieren

• No Legal Hold/Incident
• Export verwandter Artefakte (falls erforderlich)
• Vernichtungsprotokoll gebildet

17) Protokollierungsvorfälle (schnelles Playbook)

Entdeckt PII/Geheimnisse in den Protokollen → sofort aktivieren redaction-Regeln, beschränken Sie den Zugriff, starten Sie die Bereinigung/rotation der Schlüssel, bewerten Sie den Maßstab (DPO/Legal), wenn nötig - Benachrichtigungen.
Ausfall der Pipeline-Protokolle → Umschalten auf Pufferung, SRE-Alert, Neustart ingestion, Post-Mortem.

18) Fahrplan für die Umsetzung

Wochen 1-2: Quellen inventarisieren, Termine vereinbaren, Grundmatrix retenschna, Schema-als-Code.
Woche 3-4: Einführung von Masking/Revision, Trennung von Indizes mit PII, NTP/Trace-IDs, WORM für kritische Sets.
Monat 2: Automatisierung der Löschung/Archivierung, KRIs/KPIs und Alerts, SOAR-Playbooks.
Monat 3 +: Prüfung von Anbietern, Wertoptimierung (Tiering), vierteljährliche Revue der Fristen und Anforderungen der Gerichtsbarkeiten.

TL; DR

Einheitliche Log-Richtlinie = klare Terminmatrix + Maskierung und Verschlüsselung + RBAC und Access Audit + WORM/Legal Hold + Qualität und Zeitsynchronisation. Dies reduziert Risiken (DSGVO/AML/PCI), senkt die Lagerkosten und beschleunigt Untersuchungen.