Logfile Analyse Tools

Datenquellen und Formate

Die erste Frage lautet immer: Frisst das Tool meine Logs überhaupt? Logfiles kommen in vielen Formaten, vom klassischen Apache- und Nginx-Format über JSON bis zu proprietären Ausgaben einzelner Programme. Prüfe, ob deine konkreten Quellen unterstützt werden, nicht ob "gängige Formate" abgedeckt sind. Gängig ist ein dehnbares Wort.

Wichtig ist auch, wie die Daten hereinkommen. Manche Tools lesen Dateien, die du hochlädst. Andere holen sich Logs live über Agenten oder Schnittstellen. Wenn du in Echtzeit reagieren willst, brauchst du den zweiten Weg.

Suche und Filter

Im Alltag verbringst du die meiste Zeit mit Suchen. Eine schnelle Volltextsuche über große Zeiträume ist Gold wert. Achte darauf, wie sich Filter kombinieren lassen: alle 500er-Fehler einer bestimmten IP in den letzten zwei Stunden, das sollte in Sekunden gehen und nicht in mehreren Schritten zusammengeklickt werden müssen.

Auswertung und Visualisierung

Rohdaten helfen niemandem im Meeting. Du brauchst Diagramme, Tabellen und Übersichten, die man ohne Schulung liest. Prüfe, ob du dir eigene Dashboards bauen kannst, die genau die Kennzahlen zeigen, die für deinen Betrieb zählen. Ein Dashboard, das nur der Anbieter versteht, nützt dir nichts.

Alarmierung

Gerade im IT- und Security-Bereich willst du nicht ständig ins Tool schauen. Du willst, dass das Tool dir Bescheid gibt, wenn etwas aus dem Rahmen fällt. Wie flexibel sind die Regeln? Kannst du festlegen, dass eine Meldung erst kommt, wenn ein Fehler mehr als zehnmal in fünf Minuten auftritt, statt bei jedem einzelnen? Zu viele Fehlalarme führen dazu, dass niemand mehr hinschaut.

Aufbewahrung und Speicher

Logs wachsen schnell. Ein Tool muss dir sagen können, wie lange es Daten vorhält und was das kostet. Manche Systeme werden langsam, sobald die Datenmenge über eine bestimmte Grenze steigt. Frage in der Demo nach dem Verhalten bei großen Zeiträumen, nicht bei den Beispieldaten des Anbieters.

Lass die Person testen, die später damit arbeitet

Der häufigste Fehler bei der Auswahl: Der Chef oder ein Berater klickt sich durch die Demo und findet alles gut. Später sitzt aber die Kollegin aus dem Betrieb davor und kommt nicht zurecht. Lass die Demo von der Person bedienen, die täglich damit sucht und filtert. Gib ihr eine echte Aufgabe: "Finde heraus, warum die Bestellseite gestern langsam war." Wenn sie das in der Demo nicht in wenigen Minuten schafft, wird es im Alltag nicht besser.

Teste mit deinen echten Daten

Demodaten sind immer schön aufgeräumt. Deine Logs sind es nicht. Bestehe darauf, in der Testphase deine eigenen Logfiles einzuspielen, mitsamt den kaputten Zeilen, den seltsamen Zeichen und der echten Datenmenge. Erst dann siehst du, ob das Tool wirklich funktioniert.

Cloud oder eigener Server

Eine grundsätzliche Weichenstellung: Läuft das Tool in der Cloud des Anbieters oder auf deiner eigenen Infrastruktur? Bei sensiblen Logs mit personenbezogenen Daten ist das keine reine Geschmacksfrage, sondern eine rechtliche. Kläre das früh, weil es die Auswahl stark einschränkt.

Wie steht es um den Ausstieg

Bevor du einsteigst, denk ans Aussteigen. Kannst du deine Daten und Auswertungen exportieren, wenn du das Tool wechselst? Manche Systeme machen das absichtlich schwer. Frage konkret, in welchem Format du deine historischen Daten zurückbekommst.

Der Listenpreis ist selten der Preis, den du am Ende zahlst. Bei Logfile Analyse Tools gibt es mehrere verbreitete Modelle, und jedes hat seine Tücken.

Abrechnung nach Datenmenge

Sehr verbreitet ist die Abrechnung nach dem Volumen der eingelesenen Daten, oft pro Tag oder pro Monat. Das klingt fair, wird aber teuer, wenn deine Systeme mehr protokollieren als gedacht. Ein einziger fehlerhafter Dienst, der in Schleife Fehler schreibt, kann deine Datenmenge und damit deine Rechnung in die Höhe treiben. Frage, was passiert, wenn du die eingeplante Menge überschreitest: Wird gedrosselt oder einfach weiterberechnet?

Abrechnung nach Datenquellen oder Hosts

Andere Anbieter rechnen nach der Anzahl der Server oder Quellen ab, die Logs liefern. Das ist besser kalkulierbar, kann aber teuer werden, wenn du viele kleine Systeme hast, die jeweils wenig Daten liefern.

Kosten, die im Angebot fehlen

Achte auf das, was nicht auf der ersten Seite steht. Aufbewahrung über einen längeren Zeitraum kostet oft extra. Support jenseits von E-Mail kostet extra. Einrichtung und Schulung kosten Zeit deiner Leute, und das ist auch Geld, auch wenn es nicht auf der Rechnung des Anbieters auftaucht.

Der Aufwand für den Betrieb

Wenn du das Tool selbst hostest, zahlst du zwar keine Cloud-Gebühr, aber du brauchst jemanden, der es pflegt, aktualisiert und am Laufen hält. Diese Personalzeit gehört in die Rechnung. Ein "kostenloses" Tool, das eine halbe Stelle bindet, ist nicht billig.

Alles protokollieren, dann ersticken

Ein Betrieb schaltet aus Vorsicht alle Logs an, auf höchster Detailstufe. Nach kurzer Zeit ist die Datenmenge so groß, dass die Suche kriecht und die Rechnung explodiert. Und im entscheidenden Moment findet niemand die eine wichtige Zeile im Rauschen. Weniger, aber gezielt protokollieren ist fast immer besser.

Alarme, die niemand mehr ernst nimmt

Ein Team richtet zu Beginn viele Alarme ein, gut gemeint. Nach zwei Wochen kommen so viele Meldungen, dass sie sie stumm schalten oder wegklicken, ohne zu lesen. Dann geht der eine echte Alarm unter. Weniger Alarme, dafür treffsichere, sind der bessere Weg.

Uhrzeiten, die nicht zusammenpassen

Ein klassischer Stolperstein: Verschiedene Systeme laufen mit unterschiedlicher Zeitzone oder ungenauer Uhr. Bei der Fehlersuche über mehrere Quellen passen die Zeitstempel dann nicht zusammen, und du jagst Gespenster. Sorge dafür, dass alle Systeme dieselbe Zeitquelle nutzen, bevor du mit der Analyse beginnst.

Das Tool eingeführt, aber niemand geschult

Die Software steht, die Daten laufen ein, und dann nutzt sie doch nur einer, weil nur er weiß, wie. Fällt der aus, steht das Wissen still. Plane von Anfang an ein, dass mehrere Leute mit dem Tool umgehen können.

Personenbezogene Daten übersehen

In Webserver-Logs stehen IP-Adressen, oft auch mehr. Viele Betriebe behandeln Logs als reine Technikdaten und vergessen, dass darin personenbezogene Daten stecken. Das rächt sich spätestens bei der ersten Prüfung.

Logfiles enthalten regelmäßig personenbezogene Daten, allen voran IP-Adressen. Nach der DSGVO gelten IP-Adressen in vielen Fällen als personenbezogen. Damit fällt die Verarbeitung deiner Logs unter den Datenschutz, ob dir das gefällt oder nicht. Das bedeutet vor allem: Du brauchst einen Zweck, eine Rechtsgrundlage und eine begrenzte Speicherdauer.

Speicherdauer festlegen

Logs auf Vorrat und ewig aufzubewahren, ist datenschutzrechtlich heikel. Lege fest, wie lange du welche Logs für welchen Zweck brauchst, und lösche danach. Ein Tool sollte dich dabei unterstützen, indem es Daten nach Ablauf automatisch entfernt.

Auftragsverarbeitung bei Cloud-Tools

Wenn dein Logfile Analyse Tool in der Cloud eines Anbieters läuft, verarbeitet dieser Anbieter deine Daten in deinem Auftrag. Dafür brauchst du einen Vertrag zur Auftragsverarbeitung. Prüfe außerdem, wo die Server stehen. Liegt die Verarbeitung außerhalb der EU, brauchst du zusätzliche Absicherungen.

Zugriff und Protokollierung der Analyse

Wer Logs auswertet, sieht potenziell viel: welcher Mitarbeiter wann welche Seite aufgerufen hat, welche Aktion wann ausgeführt wurde. Das kann eine Verhaltens- und Leistungskontrolle sein, und da spielt in vielen Betrieben der Betriebsrat mit. Kläre früh, wer Zugriff hat und wofür die Auswertung genutzt werden darf.

In Österreich und der Schweiz

Die Grundlinie ist ähnlich, die Details unterscheiden sich. In Österreich gilt die DSGVO ebenso, ergänzt um nationales Recht. Die Schweiz hat ein eigenes Datenschutzgesetz, das in vielen Punkten vergleichbar ist, aber nicht deckungsgleich. Wenn du grenzüberschreitend arbeitest, hol dir für die konkrete Ausgestaltung fachlichen Rat.

Dieser Abschnitt ersetzt keine Rechtsberatung. Er zeigt dir, an welchen Stellen du genauer hinschauen musst.

Schritt 1: Bedarf schriftlich festhalten

Schreib auf, was du wirklich brauchst. SEO-Analyse oder IT-Betrieb? Welche Quellen? Wie viele Daten pro Tag? Wer arbeitet damit? Diese eine Seite Text bewahrt dich davor, dich von Funktionen blenden zu lassen, die du nie nutzt.

Schritt 2: Datenmenge abschätzen

Miss, wie viele Logdaten deine Systeme tatsächlich pro Tag erzeugen. Das ist die Zahl, an der die meisten Preismodelle hängen. Ohne diese Zahl kannst du kein Angebot bewerten.

Schritt 3: Zwei bis drei Kandidaten testen

Wähle nicht sofort einen aus. Nimm zwei oder drei in eine echte Testphase, jeweils mit deinen eigenen Logs und einer echten Aufgabe. Lass die spätere Nutzerin arbeiten, nicht dich.

Schritt 4: Rechtliches prüfen, bevor du unterschreibst

Kläre Auftragsverarbeitung, Speicherort und Speicherdauer, solange du noch verhandeln kannst. Nach der Unterschrift hast du wenig Spielraum.

Schritt 5: Gesamtkosten über drei Jahre rechnen

Rechne nicht den Monatspreis, sondern die Summe über drei Jahre, inklusive Wachstum deiner Datenmenge, Support und Personalzeit. Erst diese Zahl macht Angebote vergleichbar.

Schritt 6: Ausstieg vorbereiten

Stell schon vor dem Start sicher, dass du deine Daten wieder herausbekommst. So bleibst du entscheidungsfähig, falls das Tool doch nicht passt.