„Wir haben einen Audit-Trail“ ist zur Häkchen-Floskel geworden. Fast jedes Dokumenten-Tool druckt irgendwo eine Liste von Ereignissen aus. Die Frage, auf die es ankommt, ist eine andere: Wenn das Protokoll selbst angefochten wird — können Sie zeigen, dass es nicht verändert wurde?

Ein gewöhnliches Aktivitätsprotokoll sind nur Zeilen in einer Datenbank

Ein typisches Aktivitätsprotokoll ist eine Tabelle, in die die Anwendung schreibt — und die sie im Prinzip auch umschreiben kann. Eine Administratorin, ein Fehler oder ein Angreifer mit Datenbankzugriff kann Zeilen ändern oder löschen, und nichts an den verbleibenden Zeilen verrät es. Das Protokoll ist nur so lange ein Beweis, wie niemand das Protokoll infrage stellt.

Was GingerDocs anders macht

Jedes Ereignis im Leben eines Dokuments — erstellt, versendet, angesehen, unterschrieben, abgelehnt, annulliert — wird an ein Protokoll angefügt, das wie ein manipulationserkennendes Register funktioniert:

  • Nur anfügbar — Ereignisse werden hinzugefügt, nie bearbeitet oder entfernt.
  • Hash-verkettet — jeder Eintrag enthält einen SHA-256-Hash des vorherigen Eintrags, sodass jeder Datensatz kryptografisch an alles davor gebunden ist.
  • Zugeordnet — jedes Ereignis trägt einen Zeitstempel und die IP-Adresse, von der es kam.

Warum die Verkettung alles ändert

Angenommen, jemand verändert einen historischen Eintrag. Sein Hash passt nicht mehr zu dem Wert, der im nächsten Eintrag eingebettet ist, der wiederum nicht mehr zum übernächsten passt — die Kette bricht sichtbar an der Stelle der Manipulation. Die Historie unbemerkt zu fälschen erforderte, die gesamte Kette nach vorn neu zu berechnen, und genau das verweigert ein nur anfügbares Design.

Das Ergebnis ist ein Protokoll, das nicht um Vertrauen bittet; es lässt sich prüfen.

Die Verifizierung schließt den Kreis

Ein manipulationserkennendes Protokoll ist am nützlichsten, wenn die Gegenseite es einsehen kann. Wer ein abgeschlossenes GingerDocs-PDF in Händen hält, kann auf der öffentlichen Verifizierungsseite bestätigen, dass die Datei dem entspricht, was das Audit-Log als unterschrieben festhält — ohne Konto und ohne irgendjemandem glauben zu müssen.

Wenn Sie ein Signatur-Tool bewerten, fragen Sie nicht, ob es einen Audit-Trail hat. Fragen Sie, was den Audit-Trail davor bewahrt, bearbeitet zu werden. Lautet die Antwort „Berechtigungen“, suchen Sie weiter.