Warum Audit-Einträge nicht bearbeitet oder gelöscht werden können
Der Audit-Trail in MobilityManager ist ein Nur-Anhängen-Protokoll: Einträge können gelesen, aber niemals über die Plattform bearbeitet oder gelöscht werden. Diese Unveränderlichkeit macht den Trail als Compliance-Nachweis vertrauenswürdig. Dieser Artikel erläutert, wie die Plattform sie durchsetzt, und die eine schmale Ausnahme, die für die DSGVO besteht.
Erforderliche Berechtigung
Das Lesen von Audit-Einträgen erfordert die Berechtigung settings:view. Es gibt keine Berechtigung, die die Möglichkeit gewährt, sie zu ändern oder zu entfernen — diese Vorgänge stehen niemandem zur Verfügung.
Warum der Trail unveränderlich ist
Ein Audit-Trail hat nur dann Wert, wenn er nicht manipuliert werden kann. Könnte ein Benutzer Einträge bearbeiten oder löschen, so könnte er seine eigenen Handlungen verbergen, und der Trail könnte nicht mehr belegen, was geschehen ist. Indem MobilityManager den Trail auf Nur-Anhängen beschränkt, wird gewährleistet, dass die Aufzeichnung einer Änderung intakt bleibt, sobald diese einmal erfasst wurde.
Wie es durchgesetzt wird
Versuche, den Audit-Trail zu verändern, werden aktiv abgewiesen:
| Versuch | Ergebnis |
|---|---|
Einen Audit-Eintrag bearbeiten (PUT /api/audit/{id}) | Blockiert mit "Audit entries are immutable and cannot be modified", und der Versuch wird protokolliert. |
Einen Audit-Eintrag löschen (DELETE /api/audit/{id}) | Blockiert mit "Audit entries are immutable and cannot be deleted", und der Versuch wird protokolliert. |
Die zugrunde liegende Audit-Tabelle ist selbst ein Nur-Anhängen-Speicher, sodass der Trail sowohl auf der Schnittstellen- als auch auf der Datenebene geschützt ist.
Hinweis: Der Audit-Trail auditiert sich nicht selbst. Da sich Einträge niemals ändern können, besteht keine Notwendigkeit, Änderungen an ihnen aufzuzeichnen — und dies verhindert zugleich eine endlose Schleife von Audit-auf-Audit-Einträgen.
Die eine Ausnahme: DSGVO-Pseudonymisierung
Das Recht auf Löschung der DSGVO verlangt, die Identität einer Person selbst aus historischen Aufzeichnungen zu entfernen. Um dies mit der Unveränderlichkeit in Einklang zu bringen, nimmt die Pseudonymisierung die einzige minimale Änderung vor, die ihr erlaubt ist: Sie ersetzt die UserEmail in den vergangenen Audit-Einträgen dieser Person durch ein Pseudonym wie Deleted User #00042-58391. Jedes andere Feld — Zeitstempel, Aktion, Entitätstyp, Entitäts-ID und die aufgezeichneten Werte — bleibt erhalten. Die Struktur des Trails bleibt intakt; nur der personenbezogene Identifikator wird entfernt.
Tipp: Geplante Datenaufbewahrungsläufe können Einträge bereinigen, die älter als Ihre Aufbewahrungsfrist sind. Das ist ein geregelter, protokollierter Prozess — kein Ad-hoc-Löschen — und er ist getrennt vom oben beschriebenen, blockierten manuellen Löschen.
Verwandte Artikel
- Der Audit-Trail und was er erfasst
- Aufbewahrung und Compliance-Berichterstattung
- Einen Benutzer pseudonymisieren (DSGVO-Recht auf Löschung)
- Audit-Einträge anzeigen und filtern
