Zum Hauptinhalt springen

Protokoll

Das Protokoll (Administration → Protokoll) hält fest, wer im Workspace wann was geändert oder ausgelöst hat. Es ist für Manager und Admins sichtbar – für alle, die in den Bereich „Administration“ kommen.

Compliance-Paket. Das Protokoll ist in den Lizenzen Cloud Prime, Inhouse Prime und Inhouse Enterprise enthalten. Mit anderen Lizenzen zeigt die Kachel Im Compliance-Paket, und es wird nichts aufgezeichnet – die Aufzeichnung beginnt, sobald die Lizenz das Protokoll enthält. Siehe Lizenzierung.

Was aufgezeichnet wird​

  • Automationen – angelegt, geändert, gelöscht; Trigger gestartet und gestoppt.
  • Läufe – manuell oder über den Trigger-Knopf gestartet, Eingabe gesendet, wiederholt, wieder geöffnet.
  • Wissen – angelegt, geändert, gelöscht, aktualisiert; Dateien hochgeladen und gelöscht.
  • Modelle – angelegt, geändert, gelöscht.
  • Arbeitsbereich – Einstellungen geändert.
  • Nutzer und Rollen – Personen eingeladen, entfernt und registriert, Rollen geändert (mit der vorherigen Rolle), E-Mail-Adressen durch einen Admin geändert, Profil, Anmeldeverfahren und Passwort geändert.
  • Verbindungen – OAuth-Verbindungen hergestellt und entfernt; MCP-Zugänge ausgestellt.
  • Posteingang – Einträge abgebrochen, abgeschlossen, verworfen und zugewiesen; Dateien hochgeladen.
  • Downloads – Daten eines Laufs, Dateien aus dem Posteingang, Antworten als Word und Wissensdateien heruntergeladen.
  • Webhooks – Läufe, die ein externer Aufrufer gestartet hat (mit seiner IP-Adresse, nie mit dem Schlüssel).
  • Lizenz – Lizenz eingespielt (auch, wenn sie abgelehnt wurde).
  • Anmeldung – erfolgreiche und fehlgeschlagene Anmeldungen der Mitglieder des Workspace, mit dem Verfahren (Code, Passwort oder Single Sign-On), dem zweiten Faktor und bei Fehlversuchen dem Grund (etwa kein eingeladenes Konto, Adressen passen nicht). Mit Single Sign-On außerdem Firmenkonto verknüpft (erste Anmeldung) und Firmenkonto-Verknüpfung gelöst.
  • Zugriff verweigert – jeder Versuch, etwas zu tun, das die Rolle der Person nicht erlaubt.
  • Protokoll – das Ansehen, jeder Export und das automatische Entfernen alter Einträge.

Bei Änderungen an Automationen, Wissen, Modellen und Workspace-Einstellungen nennt der Eintrag die geänderten Felder (zum Beispiel agent.model), nie deren Werte.

Jeder Eintrag enthält den Zeitpunkt, die Person (E-Mail-Adresse), die Aktion, das betroffene Objekt (zum Beispiel die ID der Automation), ob die Aktion erfolgreich war, die IP-Adresse und das Gerät (Browser) – beides erscheint, wenn Sie mit der Maus über den Eintrag fahren – sowie die Anmeldesitzung, sodass sich mehrere Aktionen einer Sitzung zuordnen lassen. Manche Aktionen ergänzen einige wichtige Angaben – die vorherige und neue Rolle, den Wiederholungsmodus, das Anmeldeverfahren.

IP-Adresse: Hinter einem Reverse Proxy (wie in der Standard-Bereitstellung) zählt die Adresse, die der Proxy anhängt – ein Client kann seine Adresse nicht vortäuschen. Welchen Proxys vertraut wird, legt AIKIT_TRUST_PROXY fest – siehe Lokale Ressourcen.

Nur Metadaten, nie Inhalte. Prompts, Nachrichten, Dokumente, Dateiinhalte und Konfigurationswerte werden nicht ins Protokoll geschrieben.

Auch fehlgeschlagene Versuche werden aufgezeichnet – eine fehlgeschlagene Anmeldung, ein Versuch ohne die nötige Rolle oder eine Änderung, die der Server abgelehnt hat – und als fehlgeschlagen markiert. Anfragen ohne gültige Anmeldung werden nicht aufgezeichnet (das wäre überwiegend Rauschen von Scannern).

Anmeldungen gehören zu keinem einzelnen Workspace. Sie erscheinen im Protokoll jedes Workspace, in dem die Person Mitglied ist.

Filtern und exportieren​

Über der Liste filtern Sie nach Zeitraum, Bereich und Person. Die Einträge sind nach Tagen gruppiert, die neuesten zuerst; beim Scrollen werden weitere Einträge nachgeladen.

CSV exportieren lädt alle Einträge, die zum aktuellen Filter passen, als CSV-Datei mit Semikolon als Trennzeichen herunter – sie öffnet sich direkt in Excel. Über die API (GET /api/audit/<workspace>/export?format=json) gibt es denselben Export als JSON.

Schutz vor Manipulation​

Jeder Eintrag trägt eine Prüfsumme, in die die Prüfsumme des vorherigen Eintrags eingeht – eine Prüfsumme mit Schlüssel (HMAC), abgeleitet aus dem Geheimnis der Installation AIKIT_MODIFIER. Unter der Liste zeigt die Seite, ob das Protokoll unversehrt ist. Sie erkennt:

  • einen Eintrag, der direkt in der Datenbank geändert wurde – auch wenn die Kette danach neu berechnet wurde, denn dafür fehlt der Schlüssel;
  • Einträge, die in der Mitte oder am Ende (die neuesten) entfernt wurden;
  • Einträge, die am Anfang entfernt wurden, ohne den Nachweis, den die automatische Bereinigung hinterlässt.

Die Seite nennt den betroffenen Eintrag. Wer den Schlüssel und direkten Zugriff auf die Datenbankdatei hat – in der Praxis der Betreiber des Servers –, könnte das Protokoll trotzdem fälschen. Für diesen Fall leiten Sie das Protokoll an eine zentrale Protokollierung weiter (nächster Abschnitt): eine Kopie dort ist außer Reichweite.

An eine zentrale Protokollierung weiterleiten​

Jeder Eintrag erscheint zusätzlich als eine JSON-Zeile in der Standardausgabe der Anwendung (und im Tagesprotokoll der Anwendung), mit Nummer und Prüfsumme – zum Beispiel:

{"type":"audit","id":1042,"ts":"2026-10-08T09:12:44.120Z","workspaceId":"vertrieb","userEmail":"anna@example.com","action":"workflow.update","targetId":"angebots-agent","outcome":"success","details":{"changed":["agent.model"]},"prevHash":"…","hash":"…"}

Graylog, Loki, Splunk, Microsoft Sentinel oder jedes andere System, das Container-Protokolle einsammelt, erkennt diese Zeilen an "type":"audit". Weil sie Nummer und Prüfsumme tragen, zeigt ein Abgleich mit dem Protokoll in der Datenbank jede spätere Änderung dort.

Aufbewahrung​

Einträge werden standardmäßig 365 Tage aufbewahrt und danach automatisch gelöscht (täglich um 3:30 Uhr). Die Bereinigung hinterlässt selbst einen Eintrag (Alte Einträge entfernt, mit der Zahl der Einträge) – so bleibt das gekürzte Protokoll prüfbar. Ihr Administrator kann die Frist mit der Umgebungsvariable AUDIT_LOG_RETENTION (in Tagen) ändern – siehe Lokale Ressourcen.

Das Protokoll liegt in der Datei audit.db neben auth.db im Konfigurationsverzeichnis. Nehmen Sie die Datei in Ihre Sicherungen auf, wenn Sie das Protokoll auch nach einer Wiederherstellung benötigen.