{"id":75013,"date":"2026-04-28T21:29:12","date_gmt":"2026-04-29T05:29:12","guid":{"rendered":"https:\/\/www.sumologic.com\/blog\/beobachtbarkeit-ist-sicherheit-wir-haben-nur-so-getan-als-waere-es-nicht-so"},"modified":"2026-06-24T08:31:21","modified_gmt":"2026-06-24T16:31:21","slug":"observability-is-security","status":"publish","type":"blog","link":"https:\/\/www.sumologic.com\/de\/blog\/observability-is-security","title":{"rendered":"Beobachtbarkeit ist Sicherheit (wir haben nur so getan, als w\u00e4re es nicht so)."},"content":{"rendered":"\n
\n
\n
\n
\n
\"\"<\/figure>\n\n\n\n

<\/p>\n\n\n\n

Jahrelang haben wir diese k\u00fcnstliche Grenze gezogen, die Observability<\/a> mit Verf\u00fcgbarkeit, Performance und SRE-Dashboards gleichsetzt, w\u00e4hrend es bei Sicherheit um Bedrohungen, Alerts, SIEMs<\/a> und \u201eschlechte Dinge\u201c geht.<\/p>\n\n\n\n

Diese Trennung war zwar immer bequem, aber nie real.<\/p>\n\n\n\n

Die gleichen Protokolle, die Ihnen sagen, dass Ihr Dienst langsam ist, sind auch die, die Ihnen sagen, dass er kompromittiert ist. Wir haben sie einfach an verschiedene Teams, verschiedene Tools und verschiedene Budgets weitergeleitet und dann \u00fcberrascht getan, als keine der beiden Seiten das vollst\u00e4ndige Bild hatte.<\/p>\n\n\n\n

Die Daten waren immer dieselben.<\/strong><\/h2>\n\n\n\n

Nehmen Sie nahezu jede beliebige Protokollzeile, und Sie erkennen das Problem sofort. Zum Beispiel so etwas wie:<\/p>\n\n\n\n

2026-04-10T12:03:21Z service=auth-service endpoint=\/auth\/refresh status=200 src_ip=10.12.4.23 request_count=1850 user_agent=python-requests\/2.31<\/pre>\n\n\n\n
Dasselbe Protokoll. Zwei v\u00f6llig unterschiedliche Reaktionen.<\/p>\n\n\n\n
Observability betrachtet das und erkennt ein Systemproblem. Warum ruft ein Dienst den Refresh-Endpunkt mehr als 1.800 Mal auf? Hat jemand eine fehlerhafte Retry-Schleife ausgeliefert? Ist das Session-Handling fehlerhaft? Wer hat k\u00fcrzlich Code ausgerollt?<\/p>\n\n\n\n
Security schaut sich genau dieselbe Zeile an und landet ganz woanders. Warum erzeugt eine einzelne Quelle so viel Authentifizierungsverkehr? Warum wird ein geskripteter User-Agent verwendet? Handelt es sich um Token-Replay, Credential Stuffing oder einen kompromittierten Dienst, der versucht, den Zugriff aufrechtzuerhalten?<\/p>\n\n\n\n
Dasselbe Signal. Unterschiedliche Interpretation.<\/p>\n\n\n\n
Das Problem sind nicht die Daten. Es liegt daran, wie wir die Verantwortung f\u00fcr ihr Verst\u00e4ndnis aufgeteilt haben. Wir haben zwei Paralleluniversen erschaffen \u2013 eines optimiert f\u00fcr die Fehlersuche in Systemen und eines optimiert f\u00fcr die Jagd auf Angreifer. Beide blicken auf dieselbe Telemetrie, und keines ist ohne das andere vollst\u00e4ndig.<\/p>\n\n\n\n
KI bricht die Illusion<\/strong><\/h2>\n\n\n\n
KI interessiert sich nicht f\u00fcr Ihr Organigramm. sie k\u00fcmmert sich nicht darum, welchem Team Protokolle \u201egeh\u00f6ren\u201c. Stattdessen analysiert sie Muster \u00fcber alles hinweg (was gro\u00dfartig ist):<\/p>\n\n\n\n