Wie VaultPAM Sitzungsaufzeichnungen schützt
Eine Aufzeichnung, der man nicht vertrauen kann, ist kein Nachweis. Sie kann Aktivitäten zeigen, aber die schwierigeren Fragen nicht beantworten: Stammt diese Aufzeichnung aus dieser Sitzung, wurde sie verändert, wer hat sie angesehen und wurde sie nach den Regeln behandelt? Deshalb bedeutet der Schutz einer Aufzeichnung mehr, als eine Datei abzulegen. Es handelt sich um eine technische Kette, die mit der kontrollierten Erfassung beginnt und sich über Verschlüsselung, Integritätsprüfung, Zugriffsentscheidungen, Aufbewahrung und Prüfverlauf fortsetzt. Dieser Artikel erläutert, wie VaultPAM diese Kette aufbaut, damit eine Aufzeichnung als nachvollziehbarer Nachweis dienen kann, statt als ungeprüftes Artefakt behandelt zu werden.
Lesen Sie für die Audit- und Untersuchungsperspektive — also die Fragen, die ein Prüfer zum fertigen Datensatz stellt — Sitzungsaufzeichnung als Prüfnachweis. Dies ist die ergänzende Sicht: wie die Aufzeichnung behandelt wird, damit Nachweisen vertraut werden kann.
Beginnen Sie mit dem kontrollierten Zugriffspfad
Vertrauen lässt sich nicht erst nach dem Ende einer Sitzung hinzufügen. VaultPAM erfasst Aufzeichnungen über seinen kontrollierten, browserbasierten und agentenlosen Zugriffspfad und vermittelt dabei RDP-, SSH-, VNC- und HTTP-Sitzungen. Dieser Pfad bildet den Punkt, an dem eine Aufzeichnung als Teil der privilegierten Sitzung erfasst wird.
Das ist wichtig, weil ein Nachweis mit der Zugriffsaktivität verbunden bleiben muss, die er abbildet. Die Aufzeichnung ist nicht einfach eine praktische Datei zum Aufbewahren, sondern ein geschützter Datensatz einer Sitzung, die den kontrollierten Pfad durchlaufen hat. Alles Folgende ist auf dieselbe Frage ausgerichtet: Kann sich ein Prüfer bei diesem konkreten Artefakt in diesem konkreten Kontext darauf verlassen?
Verschlüsseln Sie jedes Artefakt und binden Sie es an seinen Kontext
Im Ruhezustand wird jedes Aufzeichnungsartefakt mit AES-256-GCM und einem eigenen Datenschlüssel pro Artefakt verschlüsselt. Das ist Umschlagverschlüsselung: Der Datenschlüssel schützt das Artefakt, während ein dedizierter Schlüsselverwaltungsdienst den Datenschlüssel umhüllt. Schlüsselmaterial liegt nie neben den Daten, die es schützt.
Diese Trennung ist bewusst gewählt. Eine Aufzeichnung enthält privilegierte Aktivitäten; der Schutz ihres Inhalts sollte daher nicht davon abhängen, Aufzeichnung und Schlüssel als ein Paket zu behandeln. Umschlagverschlüsselung trennt das verschlüsselte Artefakt vom Schlüsselmaterial und erlaubt zugleich, dass jedes Artefakt einen eigenen Datenschlüssel besitzt. Vereinfacht gesagt wird das Artefakt mit einem eigens dafür erzeugten Schlüssel geschützt, und dieser Schlüssel wird separat geschützt.
Verschlüsselung allein reicht nicht aus, wenn Chiffretext zwischen Kontexten verschoben und so akzeptiert werden kann, als gehöre er dorthin. VaultPAM authentifiziert auch Kontextmetadaten als zusätzliche authentifizierte Daten: Organisation, Aufzeichnung, Artefakt und Chunk. Das ist Kontextbindung. Wird Chiffretext verschoben oder für einen anderen Kontext neu gekennzeichnet, schlägt die Entschlüsselung fehl.
Diese Entscheidung schützt die Bedeutung rund um die Bytes ebenso wie die Bytes selbst. Ein Prüfer muss nicht annehmen, dass ein verschlüsselter Chunk weiterhin zu der daneben angegebenen Aufzeichnung, dem Artefakt, der Organisation und dem Chunk-Kontext gehört. Die Verschlüsselung prüft diese Beziehung bei der Entschlüsselung.
Entfernen Sie Klartext erst, wenn die geschützte Kopie nachgewiesen ist
Die sichere Verarbeitung hat ein wichtiges Detail im Schreibpfad: Lokal erfasster Klartext wird nicht schon deshalb entfernt, weil ein Upload gestartet wurde. Er wird erst entfernt, nachdem der verschlüsselte Upload dauerhaft gespeichert wurde und eine Byte-für-Byte-Prüfung durch Entschlüsseln und erneutes Lesen erfolgreich war.
Die Reihenfolge ist absichtlich so gewählt. Sie verhindert, dass eine Upload-Anfrage als Beleg dafür gilt, dass das geschützte Artefakt verfügbar und lesbar ist. Die Persistenzbedingung bestätigt, dass der verschlüsselte Upload gespeichert wurde; die Prüfung durch Entschlüsseln und erneutes Lesen bestätigt, dass das verschlüsselte Artefakt Byte für Byte verifiziert werden kann. Erst wenn beide Bedingungen erfüllt sind, wird der lokal erfasste Klartext entfernt.
Diese kleine Sequenzregel hat große Folgen für den Nachweis. Der geschützte Datensatz muss angelegt und geprüft werden, bevor der lokale Klartext gelöscht wird. Andernfalls könnte ein Fehler zwischen Erfassung und verifizierter verschlüsselter Persistenz dazu führen, dass eine Organisation sich nicht auf das vorgesehene Aufzeichnungsartefakt verlassen kann.
Wenn Aufzeichnungsmetadaten und Nachweise zwischen internen Diensten übertragen werden, werden diese Aufrufe gegenseitig mit mTLS authentifiziert. Die gegenseitige Authentifizierung stellt sicher, dass die internen Parteien, die diesen Aufzeichnungskontext transportieren, einander authentifizieren.
Machen Sie Änderungen erkennbar und die Prüfung wiederholbar
Vertraulichkeit und Integrität beantworten unterschiedliche Fragen. Verschlüsselung schützt Aufzeichnungsinhalte im Ruhezustand. Integrität fragt, ob der Aufzeichnungsinhalt weiterhin mit der aufgezeichneten Sitzung zusammenhängt.
VaultPAM schützt Aufzeichnungsinhalte mit einer SHA-256-Hashkette über die Aufzeichnungssegmente. Es bewahrt dauerhafte Integritätsmanifeste auf, und ein Prüfwerkzeug ohne Netzwerkverbindung kann jede Aufzeichnung erneut prüfen. Zusammen ermöglichen diese Elemente einem Prüfer, die Integrität einer Aufzeichnung wiederholbar zu testen, statt sich auf die Behauptung zu verlassen, sie sei nicht verändert worden.
Die Hashkette macht einzelne Aufzeichnungssegmente zu Teilen einer geordneten Integritätsprüfung. Das dauerhafte Manifest bewahrt die zur Prüfung benötigten Informationen, und das Prüfwerkzeug ohne Netzwerkverbindung ermöglicht, diese Prüfung erneut vorzunehmen, wenn ein Nachweis erforderlich ist. Das ist bei einer Routineprüfung, Untersuchung oder einem Audit nützlich: Die Integritätsfrage lässt sich durch Prüfung beantworten, nicht allein durch Vertrauen.
Die native RDP-Aufzeichnung hat eine zusätzliche Bedingung. Eine Begleitdatei für die Frame-Integrität ist erforderlich, und die Aufnahme schlägt fehl, wenn deren Prüfung nicht sauber ist. Damit ist die Frame-Integrität ein erforderlicher Teil der Annahme einer nativen RDP-Aufzeichnung und keine optionale Prüfung zu einem späteren Zeitpunkt.
Kontrollieren Sie, wer die Nachweise sehen kann — und protokollieren Sie diesen Zugriff
Auch eine geschützte Aufzeichnung kann ein Risiko schaffen, wenn zu viele Personen sie ansehen oder exportieren können. VaultPAM trennt die Berechtigungen zum Anzeigen oder Wiedergeben einer Aufzeichnung von den Berechtigungen zum Exportieren oder Herunterladen. Es handelt sich um unterschiedliche Handlungen mit unterschiedlichen Autorisierungsentscheidungen.
Alle Aufzeichnungsvorgänge sind mandantenbezogen abgegrenzt. Das gilt für die Vorgänge rund um Aufzeichnungen, einschließlich des Zugriffs auf die Nachweise. Diese Grenze ist wichtig, weil eine Aufzeichnung nur im Kontext der Organisation und der Aufzeichnung Bedeutung hat, zu denen sie gehört.
VaultPAM zeichnet sowohl erfolgreiche Zugriffe als auch Autorisierungsablehnungen im Prüfprotokoll auf. Daraus folgt ein einfacher, aber wichtiger Grundsatz: Der Zugriff auf den Nachweis ist selbst ein Nachweis. Eine erfolgreiche Wiedergabe oder ein Export hinterlässt ebenso einen Eintrag wie ein nicht autorisierter Versuch. So wird die Prüfung von Aufzeichnungen nachvollziehbar, ohne zu behaupten, dass jede Person darauf zugreifen sollte.
Bewahren Sie Aufzeichnungen mit operativen Leitplanken auf
Die Aufbewahrung muss die Verfügbarkeit von Nachweisen mit einem festgelegten Lebenszyklus in Einklang bringen. VaultPAM bietet konfigurierbare Aufbewahrungszeiträume von 30, 90, 180 oder 365 Tagen. Der Standardwert beträgt 90 Tage mit einer Kulanzfrist von 7 Tagen.
Für die Verkürzung eines Aufbewahrungszeitraums gelten zusätzliche Schutzmaßnahmen. Sie erfordert eine erneute verstärkte Authentifizierung und eine eingegebene Bestätigung durch einen Plattformadministrator. Die daraus resultierenden Löschungen werden auditiert, und beim Löschen werden Schutzvorkehrungen für rechtliche Aufbewahrungssperren berücksichtigt.
Diese Leitplanken richten die Aufmerksamkeit auf die Änderung, die die Verfügbarkeit von Aufzeichnungsnachweisen verkürzen kann. Eine Verkürzung der Aufbewahrung wird nicht als gewöhnliche Konfigurationsänderung behandelt: Sie verlangt einen neuen Authentifizierungsschritt, eine ausdrückliche eingegebene Bestätigung und die Rolle des Plattformadministrators. Die daraus resultierende Löschaktivität wird Teil des Prüfverlaufs, während rechtliche Aufbewahrungssperren im Löschprozess eine Schutzvorkehrung bleiben.
Was dies für Leser zu NIS2 und SOC 2 bedeutet
Für NIS2 verknüpft die Compliance-Zuordnung von VaultPAM Artikel 21 Absatz 2 Buchstabe a mit Prüfpfad und Sitzungsaufzeichnung für jeden privilegierten Zugriff sowie Artikel 21 Absatz 2 Buchstabe b mit Echtzeitwarnungen bei verdächtigen privilegierten Sitzungen und vollständiger Sitzungswiedergabe zur Untersuchung von Vorfällen. Die technischen Details in diesem Artikel erläutern, warum eine Sitzungsaufzeichnung diese Zuordnung unterstützen kann: Der Datensatz wird über den kontrollierten Pfad erfasst, im Ruhezustand geschützt, an seinen Kontext gebunden und kann auf Integrität geprüft werden.
Für SOC 2 ist der aktuelle Status präzise: Type-II-Audit in Arbeit, Bericht für 2026 ausstehend. Der Schutz von Aufzeichnungen sollte anhand der nachweisbaren Kontrollen bewertet werden, darunter Verschlüsselung, Prüfung, Autorisierungsgrenzen, Leitplanken für die Aufbewahrung und Prüfverlauf — nicht anhand eines Berichts, der noch nicht vorliegt.
Den umfassenderen Sicherheitskontext zu den hier beschriebenen Aufzeichnungsschutzmaßnahmen finden Sie auf der Sicherheitsseite von VaultPAM.
Nachweise sollten prüfbar sein, nicht nur gespeichert
Das Ergebnis ist nicht das Versprechen, dass einer gespeicherten Aufzeichnung allein deshalb vertraut werden kann, weil sie existiert. Es ist ein Satz von Prüfungen und Grenzen: kontrollierte Erfassung, Umschlagverschlüsselung mit einem Datenschlüssel pro Artefakt, authentifizierter Kontext, verifizierte verschlüsselte Persistenz vor dem Entfernen des lokalen Klartexts, Hashkettenprüfung, getrennte Zugriffsberechtigungen, mandantenbezogen abgegrenzte Vorgänge und geregelte Aufbewahrung.
Das ist der technische Standard hinter einer Aufzeichnung, die Beweiskraft haben kann. Wenn es um die Frage geht, was in einer privilegierten Sitzung geschah, sollte die Antwort auf einem Datensatz beruhen, dessen Inhalt, Kontext, Zugriff und Lebenszyklus vollständig geprüft werden können. So wird aus einer Sitzungsaufzeichnung ein Nachweis, auf den sich eine Organisation verlassen kann.