Audit-Log

Vaultigen führt ein anwendungsseitig nur anfügendes, manipulationserkennendes Audit-Log. Super-Admins und Auditoren lesen es unter System → Aktivität.

Was protokolliert wird

Anmeldungen und Fehlversuche, Faktoränderungen, Benutzer- und Teamverwaltung, Änderungen an Berechtigungen, jede Auslieferung eines Geheimnisses und jeder Dateidownload, Importe, Schlüsselrotation, Backup und Wiederherstellung, Notfallzugriff, abgelehnte Aktionen mit hohem Risiko, Entschlüsselungsfehler, Änderungen an Sicherheitseinstellungen, das Ansehen des Audit-Logs und Bereinigungen.

Jedes Ereignis hat eine handelnde Person, eine Aktion, ein Ergebnis (success, denied oder failed), eine Quelle (web, console, queue, scheduler), den Tresor und das Ziel sowie einen kleinen, bereinigten Kontext.

Was nie protokolliert wird

Passwörter, TOTP-Seeds oder -Codes, private Schlüssel, Wiederherstellungscodes, Verschlüsselungsschlüssel, Chiffretext, Request-Bodies, vollständige URLs, importierte Quelldatensätze und Dateiinhalte.

Anzeige- und Download-Endpunkte schlagen sicher fehl: Kann das Audit-Ereignis nicht geschrieben werden, wird der Wert nicht ausgeliefert.

Wie Manipulation erkannt wird

• Ereignisse werden kanonisch kodiert und in einer SHA-256-Hashkette verknüpft: Wer ein früheres Ereignis ändert oder löscht, bricht jeden späteren Hash.
• Jedes Ereignis erhält zusätzlich einen HMAC-Prüfpunkt mit dem Audit-Integritätsschlüssel, der in installation.json liegt, außerhalb der Datenbank.

Die Aktivitätsseite zeigt das Prüfergebnis für die ganze Kette („Audit-Kette verifiziert“), die Anzahl der Ereignisse und Prüfpunkte und den zuletzt bereinigten Bereich. Wer die Datenbank ohne den Audit-Schlüssel umschreibt, kann keine gültigen Prüfpunkte erzeugen.

Das Log ist manipulationserkennend, nicht unveränderlich. Wer Anwendung und Audit-Schlüssel kontrolliert, kann die lokale Historie umschreiben. Bewahren Sie den Audit-Schlüssel in Ihrer Hinterlegung auf, getrennt vom Server.

Die Aktivitätsseite nutzen

Filtern Sie nach Person, Aktion, Ergebnis, Zeitraum, Tresor und Quelle. Die Detailansicht zeigt Ziel, bereinigten Kontext, das kanonische Ereignis und für Installationsverwalter die IP-Adresse und den User-Agent. Das Öffnen der Seite wird selbst als audit.viewed protokolliert.

Auditoren sehen das installationsweite Log mit geschwärzten Kontaktdaten. Tresorinhalte können sie von dort nur öffnen, wenn sie zusätzlich eine Tresor-Berechtigung haben.

Aufbewahrung und Bereinigung

Unter Einstellungen → Audit-Aufbewahrung:

Einstellung	Standard	Bedeutung
Audit-Aufbewahrung	365 Tage	Ältere Ereignisse dürfen bereinigt werden (1–3650 Tage).
Aufbewahrung von IP und User-Agent	30 Tage	IP-Adressen und User-Agents werden danach geschwärzt. 0 behält sie so lange wie das Ereignis.

Die Bereinigung läuft täglich um 03:30 Uhr über den Scheduler, und ein Super-Admin kann sie mit Audit-Log bereinigen starten. Vor dem Löschen alter Ereignisse schreibt Vaultigen einen schlüsselgebundenen Prüfpunkt für den entfernten Bereich und hält einen Ankerpunkt fest, damit die verbleibende Kette weiter verifiziert. Die Bereinigung selbst wird als audit.pruned protokolliert.

IP-Adressen und User-Agents liegen außerhalb der Hashkette; sie aus Datenschutzgründen zu schwärzen, bricht die Verifikation also nie.