Audit Log #

Die App audit_log schreibt mit, wer wann was getan hat: Anmeldungen, Dateizugriffe, Freigaben, Änderungen an Konten und Gruppen, Tags, Kommentare, das Ein- und Ausschalten von Apps und jeden occ-Befehl. Sie ist für Instanzen gedacht, die Zugriffe und Änderungen nachweisen müssen. Jeder Eintrag ist eine JSON-Zeile, die SIEM-Systeme wie Splunk, ELK oder Graylog direkt einlesen.

Voraussetzungen #

Installation #

1. Den API-Schlüssel bei der BW-Tech GmbH anfragen.
2. Im App-Menü links oben Markt öffnen. In der linken Spalte unter Einstellungen auf API Schlüssel hinzufügen klicken.
3. Den Schlüssel in das Feld „Dein persönlicher API-Key“ einfügen und Speichern klicken. Der Markt prüft den Schlüssel beim Marketplace und lädt den Katalog neu. Ist der Schlüssel angenommen, heißt der Eintrag in der linken Spalte jetzt Bearbeite API Schlüssel. Steht dort weiter API Schlüssel hinzufügen, wurde der Schlüssel abgelehnt und nicht gespeichert.
4. Die App „Audit Log“ aufrufen und Installieren klicken.

Auf der Kommandozeile, wenn der Schlüssel schon eingetragen ist:

sudo -u www-data php8.4 occ market:install audit_log

market:install lädt die App, installiert sie und schaltet sie ein. Ist die App schon vorhanden und nur abgeschaltet, genügt sudo -u www-data php8.4 occ app:enable audit_log. Wie Sie den Schlüssel auf der Kommandozeile eintragen und was dabei zu beachten ist, steht bei der BW-Tech File Firewall.

Einrichtung #

Eigene Protokolldatei #

Richten Sie immer eine eigene Datei ein. Ohne sie schreibt die App über das Serverprotokoll auf Stufe Info, und bei der Standardstufe 2 (Warnung) verwirft der Server diese Einträge.

sudo install -d -o www-data -g www-data -m 0750 /var/log/owncloud.online
sudo -u www-data php8.4 occ config:system:set log.conditions 0 apps 0 --value admin_audit
sudo -u www-data php8.4 occ config:system:set log.conditions 0 logfile --value /var/log/owncloud.online/audit.log
sudo -u www-data php8.4 occ config:system:get log.conditions

Gibt es in log.conditions schon Einträge, nehmen Sie statt 0 die nächste freie Nummer. Derselbe Eintrag direkt in config/config.php:

'log.conditions' => [
    [
        'apps' => ['admin_audit'],
        'logfile' => '/var/log/owncloud.online/audit.log',
    ],
],

Die Einträge tragen die Kennung admin_audit. Mit eigener Datei schreibt die App direkt dorthin; die Protokollstufe des Servers spielt dann keine Rolle. Fehlt die Datei, legt die App sie mit den Rechten 0640 an.

Optionen #

App-Werte setzen Sie so:

sudo -u www-data php8.4 occ config:app:set audit_log log_rotate_max_files --value 30

Oberfläche #

Die App hat einen eigenen Abschnitt: Einstellungen → Administration → Audit Log. Die Oberfläche ist nur englisch.

Kommandozeile #

sudo -u www-data php8.4 occ audit:list -u anna -a file_read --from 2026-10-01 --to 2026-10-28
sudo -u www-data php8.4 occ audit:tail

Ein Datum ohne Uhrzeit gilt für den ganzen Tag, in der Zeitzone aus logtimezone.

Was protokolliert wird #

Ein Eintrag, hier zur besseren Lesbarkeit umbrochen:

{
  "reqId": "4uAiwjMtXOfVyPyn5B7H",
  "level": 1,
  "time": "2026-10-28T13:17:43+00:00",
  "remoteAddr": "203.0.113.24",
  "user": "anna",
  "app": "admin_audit",
  "method": "POST",
  "url": "/index.php/login",
  "message": "User "anna" logged in successfully",
  "action": "user_login",
  "CLI": false,
  "userAgent": "Mozilla/5.0 (…)",
  "success": true,
  "login": "anna",
  "auditUsers": ["anna"],
  "auditGroups": ["vertrieb"]
}

Rotation #

Ein Hintergrund-Job prüft einmal am Tag die eigene Datei. Hat sie log_rotate_size erreicht, benennt er sie in audit.log.1 um, verschiebt ältere Dateien eine Nummer weiter und löscht die älteste, die über log_rotate_max_files hinausgeht. Mit den Vorgaben bleiben neben der aktuellen Datei fünf ältere, jede mindestens 50 MB groß.

Wer stattdessen logrotate verwendet, setzt log_rotate_size so hoch, dass die App nie rotiert. Beide zusammen kommen sich in die Quere.

Ohne eigene Datei stehen die Einträge im Serverprotokoll. Dieses rotiert owncloud.online selbst (log_rotate_size in config/config.php, Vorgabe 100 MB); die App lässt es dann in Ruhe.

Nutzung #

Anwender sehen von der App nichts.

Grenzen und Hinweise #

• Datenmenge. Jedes Lesen einer Datei erzeugt einen Eintrag file_read. Rechnen Sie auf aktiven Instanzen mit großen Protokolldateien und planen Sie Rotation und Aufbewahrung danach.
• Aufbewahrung. Mit den Vorgaben löscht die Rotation ältere Einträge. Wer Einträge länger aufbewahren muss, erhöht log_rotate_max_files oder leitet die Datei an ein SIEM-System weiter.
• Geheimnisse auf der Kommandozeile. command_executed enthält die vollständige Befehlszeile. Passwörter oder Schlüssel, die Sie einem occ-Befehl als Argument mitgeben, stehen damit im Protokoll.
• Lücken in Version 1.3.2. Nicht protokolliert werden:
  • Änderungen an App- und Systemeinstellungen über die Weboberfläche; per occ erscheinen sie nur als command_executed,
  • der Wechsel in ein fremdes Konto mit Als Benutzer anmelden; was danach geschieht, steht unter dem fremden Konto,
  • die Zwei-Faktor-Anmeldung,
  • das Anlegen, Umbenennen und Verlassen benutzerdefinierter Gruppen. Nur das Löschen einer solchen Gruppe steht vollständig im Protokoll; bei Mitgliedern und Rollen fehlt das betroffene Konto.
• Personenbezogene Daten. Das Protokoll enthält Konten, IP-Adressen und Dateipfade. Beschränken Sie den Zugriff auf die Datei und stimmen Sie die Aufbewahrungsfrist mit Ihrem Datenschutzbeauftragten ab.
• Panel und Download lesen nur die aktuelle Datei, keine rotierten.
• Reverse-Proxy. Damit remoteAddr die Adresse des Clients enthält und nicht die des Proxys, muss trusted_proxies stimmen, siehe Reverse-Proxy und TLS.

Wie das allgemeine Serverprotokoll funktioniert, steht unter Serverprotokoll und Fehlermeldungen.

Fehlersuche #