Ein Konto war fremdgenutzt, Dateien sind verschwunden, eine Weiterleitung wurde eingerichtet: In Cloud-Umgebungen liegt die Antwort fast immer in Protokollen – und die haben ein Verfallsdatum.
Was in der Cloud überhaupt gesichert werden kann
Stand der nachfolgenden Angaben zu Protokollen und Werkzeugen der genannten Anbieter: September 2026. Welche Protokolle geführt werden und wie lange sie verfügbar sind, hängt von Lizenz und Konfiguration ab und wird vor einer Auswertung im Einzelfall geprüft.
Ein bitgenaues Abbild wie bei einem Datenträger gibt es nicht. Gesichert werden Ausschnitte: Inhalte (Postfächer, Dateien, Kalender), Konfigurationen (Weiterleitungen, Regeln, Freigaben, angemeldete Geräte, App-Berechtigungen) und Protokolle (Anmeldungen, Administrations- und Nutzeraktivitäten).
Für jeden Ausschnitt wird festgehalten, mit welchem Werkzeug, unter welchem Konto, für welchen Zeitraum und zu welchem Zeitpunkt exportiert wurde. Ohne diese Angaben ist ein Export später schwer einzuordnen.
Microsoft 365
Zentral für Benutzer- und Administratoraktivitäten ist Microsoft Purview Audit. Es erfasst je nach Dienst, Konfiguration und Lizenz unter anderem Postfach-, Exchange-, SharePoint-, OneDrive- und Administrationsereignisse. Microsoft-Entra-Anmeldeprotokolle sind davon zu unterscheiden. Sie liefern Angaben zu Authentifizierungsversuchen, beispielsweise Zeitpunkt, Ergebnis, IP-Adresse und verwendeter Anwendung.
Für Untersuchungen an Postfächern sind zusätzlich Nachrichtenverfolgung, Postfachregeln, Delegierungen und Weiterleitungen relevant. Die Aufbewahrungsdauer hängt von der Lizenz und den konfigurierten Aufbewahrungsrichtlinien ab; sie ist der häufigste Grund, warum ältere Vorfälle nicht mehr rekonstruierbar sind.
Google Workspace
Die Administrationskonsole führt getrennte Protokolle unter anderem für Anmeldungen, Administrationsaktionen, Drive-Aktivitäten und E-Mail-Protokollsuche. Sie lassen sich über die Untersuchungsfunktion filtern und exportieren.
Auch hier gelten unterschiedliche Aufbewahrungszeiträume je Protokollart und Lizenz. Für Inhalte kommt der Datenexport hinzu; er läuft asynchron und erzeugt ein Archiv, dessen Erstellungszeitpunkt mitzudokumentieren ist.
iCloud
iCloud ist auf Privatnutzung ausgelegt und bietet keine Administrationsprotokolle im Sinne der beiden anderen Umgebungen. Über die Datenschutzfunktionen des Apple-Kontos kann die berechtigte Person eine Kopie der gespeicherten Daten anfordern. Ergänzend sind angemeldete Geräte, Sicherheitseinstellungen und Freigaben im Konto einsehbar.
Für Fragestellungen zum Zugriffszeitpunkt ist die Aussagekraft dadurch begrenzt. Häufig ist der Weg über das Endgerät ergiebiger als über das Konto.
Berechtigungen sind kein Nebenaspekt
Bei Unternehmenskonten liegt die Verfügungsbefugnis in der Regel bei der Organisation, nicht bei der einzelnen nutzenden Person. Ein Export erfordert ein administratives Konto, eine dokumentierte Beauftragung und – bei Beschäftigtendaten – die Einbindung der zuständigen internen Stellen. Bei privaten Konten ist die kontoinhabende Person zuständig.
Die pauschale Aussage, es sei stets eine gerichtliche Anordnung nötig, trifft nicht zu. Ob eine behördliche oder gerichtliche Grundlage erforderlich ist, hängt davon ab, wer Verantwortlicher der Daten ist, welches Konto betroffen ist und in welchem Verfahren die Auswertung erfolgt. Genau das wird vor dem Zugriff geklärt und schriftlich festgehalten.
Kontrollierter Export und Nachvollziehbarkeit
Exporte werden möglichst eng auf Zeitraum, Konto und Ereignisart eingegrenzt – nicht aus technischen, sondern aus datenschutzrechtlichen Gründen. Über jede erzeugte Exportdatei wird eine Prüfsumme gebildet, Zeitstempelbezug und Zeitzone werden vermerkt, das eingesetzte Werkzeug samt Version wird protokolliert.
Zu beachten ist, dass viele Protokolle in UTC geführt werden, Oberflächen aber lokale Zeit anzeigen. Uneinheitliche Zeitzonen sind eine der häufigsten Fehlerquellen bei der späteren Auswertung.
Grenzen
Ohne ausreichende Rechte gibt es keinen vollständigen Export. Nach Ablauf der jeweils geltenden Aufbewahrungsfrist sind Einträge über die regulären Audit- und Administrationswerkzeuge des Mandanten in der Regel nicht mehr verfügbar. Ob der Anbieter Daten aufgrund anderer vertraglicher oder gesetzlicher Vorgaben noch vorhält, lässt sich daraus nicht ableiten. Nicht jede Aktion wird protokolliert: Lesezugriffe auf Dateien werden je nach Konfiguration und Lizenz nicht erfasst. Und eine IP-Adresse in einem Anmeldeprotokoll benennt keine Person, sondern eine Verbindung.
Datenschutz und Verarbeitungsort
Cloud-Exporte enthalten regelmäßig personenbezogene Daten Dritter. Umfang, Zweck, Speicherort und Löschfristen werden vor der Auswertung vereinbart. Bei Anbietern mit Verarbeitung außerhalb der EU sind die Regelungen zur Drittstaatenübermittlung zu berücksichtigen; das betrifft sowohl die Herkunft der Daten als auch die Frage, wo die Auswertung stattfindet.
Nächster Schritt
Weil Protokolle ablaufen, ist die erste sinnvolle Maßnahme, den relevanten Zeitraum zu sichern, bevor die Ursachenanalyse beginnt. Hilfreich für eine erste Einschätzung sind: eingesetzte Plattform, Lizenzstufe, Vorfallszeitraum, betroffene Konten und ob administrative Zugänge verfügbar sind. Die zugehörige Untersuchung beschreibt die Seite zur IT-Forensik.
Quellen
- Microsoft Learn: Microsoft Purview Audit – Überwachungsprotokoll durchsuchen
- Microsoft Learn: Aufbewahrungsrichtlinien für Überwachungsprotokolle
- Google Workspace: Untersuchungs- und Audit-Tool
- Apple Support: Bei Apple gespeicherte persönliche Daten verstehen und verwalten
- Verordnung (EU) 2016/679 (DSGVO)