In diesem Artikel geht es um Logging von Skripten nach den Empfehlungen des BSI – und unten stellen wir unsere Softwarelösung vor.
Warum Logging von Skripten so wichtig ist
Skripte sind ein fester Bestandteil der IT-Welt. Ob PowerShell für Administration, VBA in Office-Dokumenten oder Python für Automatisierungen: überall werden Skripte genutzt, um Prozesse zu steuern. Doch Skripte sind auch ein Einfallstor für Angriffe.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat daher klare Vorgaben: Skripte müssen transparent nachverfolgt werden. Nur wenn protokolliert ist, wer wann welches Skript ausgeführt hat, können Vorfälle erkannt, analysiert und verhindert werden.
Für Unternehmen bedeutet das: Logging ist nicht optional, sondern ein zentraler Bestandteil moderner Sicherheitsarchitekturen.
BSI-Anforderungen im Überblick
Das BSI beschreibt in seinen IT-Grundschutz-Maßnahmen (u. a. M 4.440 und M 4.441) Anforderungen an PowerShell und andere Skriptsprachen. Dazu zählen:
- Protokollierung von Skript-Ausführungen: Welche Befehle wurden ausgeführt?
- Transparenz durch Events: PowerShell erzeugt etwa die Event-IDs 4104 (ScriptBlock Logging) und 4688 (Prozessstarts).
- AMSI-Integration: Das Antimalware Scan Interface kann Skripte beim Ausführen überprüfen.
- Nachvollziehbarkeit für Audits: Logs müssen manipulationssicher gespeichert werden.
Viele Unternehmen aktivieren zwar ein Logging, werten es aber nicht systematisch aus – und genau dort entstehen Sicherheitslücken.
Typische Herausforderungen beim Skript-Logging
Skript-Logging klingt einfach, ist in der Praxis jedoch komplex. Unternehmen stehen oft vor diesen Problemen:
- Datenflut: PowerShell allein kann tausende Events am Tag generieren.
- Verteilte Quellen: VBA-Logs liegen woanders als PowerShell- oder Python-Logs.
- Fehlende Korrelation: Einzelne Events ergeben nur dann Sinn, wenn sie in Zusammenhang gesetzt werden.
- Compliance-Anforderungen: Logs müssen revisionssicher gespeichert, aufbewahrt und für Audits bereitgestellt werden.
Weiter unten im Artikel zeigen wir unsere Softwarelösung, die genau hier ansetzt.
Ein zentraler Ansatz für alle Skripte
Statt jede Skriptumgebung separat zu überwachen, ist es deutlich effektiver, ein zentrales Logging- und Analyse-Tool einzusetzen.
Ein solcher Ansatz bietet:
- Einheitliche Sammlung: Egal ob PowerShell, VBA oder Python – alle Logs landen an einem Ort.
- Automatische Auswertung: Verdächtige Befehle (z. B.
Invoke-Expressionoderos.system) werden markiert. - Audit-Reports: Fertige Berichte für interne Revision und externe Prüfer:innen.
- Integration in SIEM: Übergabe an bestehende Systeme wie Splunk oder Microsoft Sentinel.
Das Ergebnis: Skripte werden transparent, Angriffe frühzeitig erkannt und BSI-Anforderungen eingehalten.
PowerShell: Der Klassiker im Fokus
PowerShell ist besonders häufig im Visier von Angreifer:innen. Typische Angriffsmuster sind z. B. das Herunterladen von Malware über Invoke-WebRequest oder das Umgehen von Sicherheitseinstellungen.
Mit aktiviertem ScriptBlock-Logging und AMSI lassen sich solche Angriffe zwar sichtbar machen – aber nur, wenn die Logs auch zentral gesammelt und ausgewertet werden.
Unser Tool unterstützt genau diese Szenarien: Events werden automatisch erkannt, korreliert und im Klartext für Analyst:innen dargestellt.
VBA und Office-Makros im Blick behalten
Auch VBA-Makros bleiben ein Risiko, trotz aller Blockaden von Microsoft. Viele Unternehmen müssen weiterhin Makros nutzen – zum Beispiel in Fachabteilungen, die eigene Excel-Lösungen entwickelt haben.
Ohne Logging ist nicht nachvollziehbar, ob Makros mit Schadcode ausgeführt wurden. Mit zentralem Logging dagegen wird sofort sichtbar, wenn ungewöhnliche Befehle im Spiel sind.
Python und Batch: die unterschätzte Gefahr
Während PowerShell und VBA viel Aufmerksamkeit bekommen, laufen in vielen Unternehmen auch Python- oder Batch-Skripte unbemerkt. Besonders in Data-Science- oder DevOps-Teams sind Python-Skripte weit verbreitet.
Ein Logging-Tool, das auch hier Ausführungen transparent macht, schafft die notwendige Sicherheit – und verhindert, dass Angriffe über „vergessene Skripte“ erfolgreich sind.
Fazit: Logging ist Pflicht, nicht Kür
Skript-Logging nach BSI-Empfehlungen ist keine optionale Zusatzaufgabe, sondern Pflicht. Nur wer nachvollziehen kann, welche Skripte wann und von wem ausgeführt wurden, erfüllt die Compliance-Anforderungen und kann Angriffe wirksam erkennen.
Unsere Software sammelt Skript-Logs (PowerShell, VBA, Batch, Python) zentral, bereitet sie revisionssicher auf und erstellt Audit-Reports. Auf Anfrage zeigen wir Ihnen gerne eine Software-Vorführung.
Script-Prüfung & Signatur – unsere Softwarelösung
Wir haben eine Software, die jede Art von Skript (z. B. PowerShell, Python, Batch, WSH, Office) auf Schadcode prüft und signiert – und wir führen sie Ihnen gern live vor.
Hier geht es zur Online-Demo. Melden Sie sich gern bei uns für eine individuelle Vorführung.
Zusätzlich unterstützen wir Sie bei der Ablösung von Makros und Skripten – von der Bestandsaufnahme bis zur sicheren Migration. Nehmen Sie gerne Kontakt auf!
Image: https://pixabay.com/photos/stock-trading-monitor-business-1863880
Ich blogge über den Einfluss der Digitalisierung auf unsere Arbeitswelt. Hierzu gebe ich Inhalte aus der Wissenschaft praxisnah wieder und zeige hilfreiche Tipps aus meinen Berufsalltag. Ich bin selbst Führungskraft in einem KMU und Ich habe berufsgeleitend an der Universität Erlangen-Nürnberg am Lehrstuhl für IT-Management meine Doktorarbeit geschrieben.
