Technische Spuren lesen, verbinden und richtig bewerten
In Modul 8 hast du gelernt, technische Dateien zu finden, kontrolliert zu lesen und große Datenmengen einzugrenzen. Jetzt geht es um den Inhalt dieser Daten: Welche Felder enthält ein Datensatz? Was sagt ein Zeitstempel aus? Wie hängen Quelle, Ziel, Port, Benutzer und Ereignis zusammen? Und wie entsteht aus vielen Einzelspuren ein nachvollziehbarer Ablauf?
Was Systeme über ihre eigenen Abläufe verraten
Viele Aktionen auf Computern, Servern und in Netzwerken hinterlassen protokollierbare Spuren. Für eine Analyse ist entscheidend, diese Spuren als einzelne technische Beobachtungen zu verstehen.
Was ist eine technische Spur?
Wenn sich ein Benutzer anmeldet, ein Prozess startet, ein Server eine Anfrage beantwortet oder ein Gerät eine Verbindung aufbaut, kann dabei ein technischer Datensatz entstehen. Dieser Datensatz beschreibt einen Vorgang aus Sicht des Systems.
AKTION │ ├── Anmeldung ├── Prozessstart ├── DNS-Anfrage ├── Verbindung └── Fehler │ ▼ TECHNISCHER DATENSATZ
Was ist ein Log?
Ein Log ist eine Aufzeichnung von Ereignissen. Ein einzelner Eintrag wird häufig als Logeintrag, Event oder Record bezeichnet. Viele Einträge zusammen ergeben eine Logdatei oder einen größeren Ereignisbestand.
2026-09-15 09:14:32 LOGIN user01 SUCCESS
Zeitpunkt Ereignis
Benutzer
Ergebnis
Aus dieser einen Zeile lässt sich bereits ableiten: Für user01 wurde um 09:14:32 Uhr eine erfolgreiche Anmeldung protokolliert.
Wo Logs entstehen können
| Datenquelle | Beispiele |
|---|---|
| Betriebssystem | Anmeldungen, Prozesse, Dienste, Fehler |
| Anwendung | Benutzeraktionen, Statusmeldungen, Fehler |
| Server | Anfragen, Antworten, Sitzungen |
| Netzwerk | Kommunikationsbeziehungen, Protokolle, Datenmengen |
Dass zwei Datensätze denselben Vorgang beschreiben, bedeutet nicht, dass sie identisch aussehen müssen. Jede Datenquelle besitzt ihre eigene Perspektive.
Ein Log zeigt nur seine eigene Sicht
Ein Netzwerkdatensatz kann zeigen, dass zwei Systeme miteinander kommuniziert haben. Ein Authentifizierungslog kann zeigen, welcher Benutzer angemeldet war. Ein Prozesslog kann zeigen, welches Programm gestartet wurde. Erst zusammen können diese Informationen einen größeren Kontext ergeben.
Aus Zeichen werden Felder – aus Feldern wird Bedeutung
Technische Daten wirken oft kompliziert, weil viele Informationen dicht nebeneinanderstehen. Der wichtigste Schritt ist deshalb, einen Datensatz in einzelne Felder zu zerlegen.
Einen Netzwerkdatensatz zerlegen
2026-09-15T10:21:17Z 10.20.4.18 185.91.22.7 51524 443 TCP 1480
| Feld | Wert | Bedeutung |
|---|---|---|
| Zeit | 2026-09-15T10:21:17Z | Zeitpunkt des Ereignisses |
| Quell-IP | 10.20.4.18 | Ausgangspunkt der beobachteten Kommunikation |
| Ziel-IP | 185.91.22.7 | Kommunikationsziel |
| Quellport | 51524 | Port auf der Quellseite |
| Zielport | 443 | angesprochener Port am Ziel |
| Protokoll | TCP | verwendetes Transportprotokoll |
| Bytes | 1480 | erfasste Datenmenge |
Statt die komplette Zeile auf einmal zu verstehen, arbeitest du künftig nach dem Muster: Datensatz → Felder → Bedeutung → Zusammenhang.
Fünf Grundfragen für fast jeden Datensatz
WANN? → Zeitstempel WER / WAS? → Benutzer, Host, IP, Prozess WAS? → Aktion / Ereignis WOHIN? → Ziel, Domain, Datei, Port ERGEBNIS? → Erfolg, Fehler, Ablehnung
Diese Fragen helfen auch dann, wenn dir das konkrete Datenformat noch unbekannt ist.
Strukturierte und textbasierte Daten
Strukturierte Datensätze besitzen klar benannte Felder:
timestamp: 2026-09-15T14:03:17Z source_ip: 10.20.4.18 destination_ip: 203.0.113.18 destination_port: 443 protocol: TCP
Andere Logs bestehen aus einer Textzeile:
Sep 15 14:03:17 server01 sshd[2143]: Failed password for user01 from 192.0.2.44
Beide Formate enthalten technische Informationen. Der Unterschied liegt darin, wie klar einzelne Felder voneinander getrennt sind.
Unbekannte Feldnamen systematisch einordnen
| Kategorie | Typische Feldnamen |
|---|---|
| Zeit | timestamp, time, start_time, end_time |
| Quelle | src_ip, source_ip, src_port |
| Ziel | dst_ip, destination_ip, dst_port |
| Kommunikation | protocol, duration, bytes |
| Ergebnis | status, result, response |
Wann, woher, wohin – und wie viel?
Zeitstempel und Kommunikationsmetadaten bilden das Gerüst vieler technischer Analysen. Sie helfen, Ereignisse zu ordnen und Beziehungen zwischen Systemen sichtbar zu machen.
Zeitstempel als Rückgrat der Analyse
Ein Ereignis ist erst dann gut einordbar, wenn du weißt, wann es stattgefunden hat. Zeitstempel können in lokaler Zeit oder in UTC gespeichert werden.
14:32:18 MESZ 12:32:18 UTC → kann derselbe Zeitpunkt sein
Das Z am Ende eines ISO-Zeitstempels wie 2026-09-15T12:32:18Z kennzeichnet UTC.
Quelle und Ziel beschreiben eine Richtung
src_ip = 10.20.4.18
│
└──────────────► dst_ip = 203.0.113.55
dst_port = 443
Source und Destination beschreiben zunächst die technische Richtung einer beobachteten Kommunikation. Sie sagen nicht automatisch etwas über Täter, Opfer, Rechtmäßigkeit oder Absicht aus.
Ports liefern Hinweise – keine Gewissheit
| Port | häufig zugeordneter Dienst |
|---|---|
| 22 | SSH |
| 53 | DNS |
| 80 | HTTP |
| 443 | HTTPS |
Ein Zielport kann einen Hinweis auf einen typischen Dienst geben. Er beweist aber nicht, welcher Inhalt übertragen wurde oder welche Anwendung die Verbindung verursacht hat.
Metadaten beschreiben Kommunikation
Start: 18:41:12 Quelle: 10.10.4.25 Ziel: 198.51.100.72 Port: 443 Dauer: 18 Sekunden Gesendet: 1.2 MB Empfangen: 84 KB
Diese Angaben beschreiben die Kommunikation, ohne automatisch den übertragenen Inhalt zu enthalten. Trotzdem lassen sich bereits wichtige Fragen beantworten: Wann? Zwischen wem? Wie lange? Wie viel?
Diese Unterscheidung wird später besonders wichtig: Ein Werkzeug kann Verbindungsmetadaten liefern, während ein anderes zusätzlich Paket- oder Inhaltsinformationen sichtbar macht.
Aus Einzelereignissen wird ein technischer Ablauf
Ein einzelner Datensatz erzählt selten die gesamte Geschichte. Technische Analyse gewinnt an Aussagekraft, wenn mehrere Ereignisse über gemeinsame Merkmale miteinander verbunden werden.
DNS und Verbindung zusammendenken
10:13:04 DNS_QUERY workstation-17 update.example.net 10:13:05 DNS_RESPONSE update.example.net 198.51.100.20 10:13:06 CONNECT workstation-17 198.51.100.20 443 10:13:08 TRANSFER workstation-17 198.51.100.20 284561 bytes
Zusammen entsteht eine plausible Abfolge: Domain auflösen → IP erhalten → Verbindung aufbauen → Daten übertragen.
Korrelation über gemeinsame Merkmale
Das Verbinden verschiedener Datensätze über gemeinsame Merkmale wird häufig als Korrelation bezeichnet.
| Merkmal | Beispiel |
|---|---|
| Zeit | Ereignisse innerhalb weniger Sekunden |
| IP-Adresse | dieselbe Quelle oder dasselbe Ziel |
| Benutzer | gleicher Benutzer in mehreren Logs |
| Hostname | dasselbe Endgerät |
| Domain | DNS-Anfrage und spätere Verbindung |
| Session-/Connection-ID | direkte technische Verknüpfung |
Ein gemeinsames Merkmal ist ein Hinweis auf Zusammenhang, aber noch kein Beweis dafür, dass alle Ereignisse dieselbe Ursache haben.
Eine Timeline bauen
13:58:42 LOGIN user17 14:01:03 PROCESS browser.exe 14:01:18 DNS_QUERY example.net 14:01:19 DNS_RESPONSE 203.0.113.18 14:01:20 CONNECT 203.0.113.18:443 14:02:11 TRANSFER 2.4 MB received
Durch die chronologische Ordnung wird aus sechs isolierten Ereignissen ein nachvollziehbarer Ablauf. Eine Timeline beantwortet zunächst die Frage: Was geschah in welcher Reihenfolge?
Drei Ebenen technischer Analyse
EBENE 1 EINZELEREIGNIS
Was ist hier passiert?
EBENE 2 ZUSAMMENHANG
Welche Ereignisse gehören möglicherweise zusammen?
EBENE 3 MUSTER
Wiederholt sich etwas auffällig regelmäßig?
Eine belastbare Analyse bewegt sich zwischen allen drei Ebenen: vom einzelnen Record über den Ablauf bis zum wiederkehrenden Muster.
Aus Massendaten werden relevante Ereignisse
Große Datenbestände enthalten selten nur relevante Treffer. Deshalb musst du lernen, Fragestellungen in Filter zu übersetzen und technische Beobachtungen von Interpretationen zu trennen.
Filtern reduziert Datenmenge
2.000.000 Ereignisse
│ Filter: source_ip = 10.20.4.18
▼
7.842 Ereignisse
│ Filter: 14:00–14:15 Uhr
▼
421 Ereignisse
│ Filter: Ziel 203.0.113.18
▼
12 Ereignisse
Das Prinzip bleibt unabhängig vom Werkzeug gleich: Fragestellung → Filterkriterium → kleinere relevante Datenmenge.
Sortieren und Häufigkeiten erkennen
Sortierung nach Zeit zeigt Abläufe. Sortierung nach Datenmenge kann Ausreißer sichtbar machen. Häufigkeiten helfen, wiederkehrende Ziele, Domains oder Ports zu erkennen.
12:00:00 → 198.51.100.18 12:00:30 → 198.51.100.18 12:01:00 → 198.51.100.18 12:01:30 → 198.51.100.18 12:02:00 → 198.51.100.18 → regelmäßiger Abstand: 30 Sekunden
Die sichere Aussage lautet zunächst nur: Es existiert eine regelmäßig wiederkehrende Kommunikation.
Datenqualität begrenzt Aussagen
Technische Daten können unvollständig, unterschiedlich formatiert oder zeitlich verschoben sein.
| Problem | Folge |
|---|---|
| fehlende Daten | Ein Teil des Ablaufs bleibt unsichtbar |
| abweichende Systemzeiten | Ereignisreihenfolge kann täuschen |
| unterschiedliche Bezeichnungen | Dasselbe System erscheint unter verschiedenen Namen |
| unvollständige Erfassung | Nur ein Teil der Kommunikation ist beobachtet |
| dynamische Zuordnung | Eine IP-Adresse kann zu verschiedenen Zeiten zu unterschiedlichen Geräten gehören |
Beobachtung und Bewertung trennen
BEOBACHTUNG 10.20.4.18 stellte um 14:03 Uhr eine Verbindung zu 203.0.113.18:443 her. BEWERTUNG „Das System kontaktierte einen Command-and-Control-Server.“
Die erste Aussage beschreibt Daten. Die zweite Aussage interpretiert sie und benötigt zusätzliche Erkenntnisse. Gute technische Analyse kennzeichnet diesen Unterschied klar.
Was ein einzelner Verbindungsdatensatz nicht sagt
10.20.4.18 → 203.0.113.18:443
Dieser Datensatz zeigt zunächst Quelle, Ziel, Richtung und Port. Er sagt nicht automatisch, welcher Mensch die Verbindung ausgelöst hat, welcher Inhalt übertragen wurde, warum sie aufgebaut wurde oder ob sie legitim oder schädlich war.
Die Fähigkeit, die Grenzen der vorhandenen Daten zu erkennen, ist genauso wichtig wie die Fähigkeit, darin Treffer zu finden.
Vier Aussagen, die technische Daten schnell falsch wirken lassen
Öffne alle vier Karten und prüfe, welche Aussage wirklich aus den Daten abgeleitet werden kann.
Von der Fragestellung zur belastbaren technischen Aussage
Klicke dich durch den Analyseablauf. Diese Denkweise wird später in Wireshark, Zeek und OpenSearch immer wieder benötigt.
Eine unbekannte Verbindung Schritt für Schritt einordnen
Betrachte die fünf Datensätze als zusammengehörigen Datenbestand.
10:41:02 HOST workstation-23 EVENT LOGIN USER user17 RESULT SUCCESS 10:43:17 HOST workstation-23 DNS_QUERY files-example.net 10:43:18 DOMAIN files-example.net IP 198.51.100.42 10:43:20 SOURCE 10.20.4.23 DESTINATION 198.51.100.42 PORT 443 TCP 10:43:26 SOURCE 10.20.4.23 DESTINATION 198.51.100.42 SENT 28451 RECEIVED 842115
user17 war auf workstation-23 erfolgreich angemeldet.files-example.net wurde zu 198.51.100.42 aufgelöst.Felder, Begriffe und Analyseentscheidungen richtig zuordnen
Ordne alle acht Situationen dem passenden Begriff zu. Alle acht Zuordnungen müssen korrekt sein.
Datensatz lesen
Einordnung
Z. Welche Zeitbasis ist damit gekennzeichnet?Zusammenhänge
Analyse
Wissenscheck – Modul 9
Für den vollständigen Modulabschluss müssen alle zwölf Antworten korrekt sein.
dst_ip typischerweise?Aus technischen Einzelspuren wird ein nachvollziehbarer Zusammenhang
Nach Modul 8 konntest du technische Dateien finden und durchsuchen. Nach Modul 9 kannst du nun Datensätze in Felder zerlegen, Zeit und Richtung einordnen, Metadaten verstehen, Ereignisse korrelieren und technische Beobachtungen sauber von Bewertungen trennen.
Im nächsten Modul geht es darum, wie Netzwerkdaten überhaupt an einen Analysepunkt gelangen und dort erfasst werden. Dabei lernst du unter anderem TAP, SPAN, Capture Unit und den Weg vom Netzwerkverkehr zur auswertbaren Datenquelle kennen.