Compliance & Auditing: Nachweise als Nebeneffekt

SchemaBridge Team · 2026-01-24 · Compliance, SOC2, GDPR, Security

SOC2-Nachweise und DSGVO-Löschung mit einer aufgezeichneten Ausführungshistorie erleichtern – und präzise benennen, was sie nicht garantiert.

Die Compliance-Steuer: Warum Audits Sie ausbremsen

Wer schon einmal ein SOC2-, ISO27001- oder HIPAA-Audit durchlaufen hat, kennt den Schmerz. Der Auditor fragt: „Zeigen Sie mir den Nachweis, dass jede Offboarding-Anfrage eines Benutzers innerhalb von 24 Stunden bearbeitet wurde.“

In einem traditionellen System löst das eine hektische Schnitzeljagd aus.

Sie durchsuchen E-Mail-Logs.
Sie greppen in Splunk nach irgendeiner „Deleted User“-Meldung.
Sie machen Screenshots von einem JIRA-Ticket.
Sie gleichen Zeitstempel in einer Tabelle ab.

Dieses manuelle Zusammentragen von Nachweisen kann Wochen an Engineering-Zeit verschlingen. Das ist die Compliance-Steuer. Sie lenkt Ihre besten Leute von der Feature-Entwicklung ab. Schlimmer noch: Die Nachweise sind oft nur Indizien. Sie können belegen, dass ein Skript gelaufen ist – aber können Sie belegen, welche Daten es genau berührt hat?

Der Audit-Trail: Nachweise als Nebeneffekt

Bei SchemaBridge sind wir überzeugt, dass Nachweise ein Nebeneffekt der Ausführung sein sollten und keine separate Tätigkeit. Die Engine schreibt während der Arbeit einen Audit-Trail: Starts, Replays und Operator-Auflösungen von Ausführungen, Änderungen an Workflows, Vertices und Kanten, Deployments, Konfigurations- und Aufbewahrungsänderungen, Berechtigungs- und Rollenänderungen sowie Freigabeentscheidungen.

Was Ihnen der Trail liefert

Aufgezeichnete Zustandsübergänge: Der Laufzustand selbst liegt in PostgreSQL und wird im Verlauf eines Laufs aktualisiert; daneben wird jeder Zustandsübergang an einen Ausführungs-Trace angehängt, sodass sich „Wie sind wir hierhin gekommen?“ im Nachhinein beantworten lässt. Der Audit-Trail erfasst den Start des Laufs und jede Operator-Aktion daran, nicht jeden Übergang.
Nachvollziehbarkeit: Für jeden Lauf können Sie die aufgezeichnete Eingabe und Ausgabe jedes Schritts einsehen (innerhalb Ihres Aufbewahrungszeitraums). Beachten Sie den Unterschied: Replay führt in SchemaBridge einen Workflow unter einer neuen Ausführung erneut aus, einschließlich Seiteneffekten; es ist keine schreibgeschützte historische Wiedergabe.
Abfragbare Historie: Der Audit-Trail ist pro Workspace und pro Workflow über die API abfragbar und liegt in einem dedizierten spaltenorientierten Speicher (ClickHouse, hinter einem internen Audit-Service), getrennt von der operativen Datenbank.

Was er nicht ist

Seien Sie Ihrem Auditor gegenüber präzise, was die Garantien angeht. Der Audit-Trail ist auf Anwendungsebene append-only, aber nicht manipulationssicher nachweisbar: Es gibt keine Hash-Kette und keine Signatur, und Audit-Schreibvorgänge erfolgen nach dem Best-Effort-Prinzip, sodass ein fehlgeschlagener Schreibvorgang nicht als erkennbare Lücke sichtbar wird. Wenn Sie Nachweise auf WORM-Niveau benötigen, exportieren Sie den Trail in einen Write-once-Speicher, den Sie selbst kontrollieren.

DSGVO und das „Recht auf Vergessenwerden“

Eine der schwierigsten Herausforderungen in jedem System, das Historie aufbewahrt, ist das „Recht auf Vergessenwerden“ (Artikel 17 der DSGVO). Wenn Sie eine Historie führen – wie löschen Sie dann die PII (personenbezogene Daten) eines Benutzers?

Löschung und Aufbewahrung

SchemaBridge begegnet dem mit Löschpfaden und Aufbewahrungsfenstern.

1. Löschung: Das Löschen eines Workspace durchläuft einen dedizierten Löschpfad, gestützt auf ein Verpflichtungs-Ledger, das vor dem unumkehrbaren Löschen erfasst und danach verifiziert wird; ein separater Pfad löscht die Daten eines einzelnen Benutzers.

2. Automatisches Bereinigen: Aufbewahrungsfenster werden pro Workspace festgelegt (oder von Ihrem Plan geerbt). Gealterte Ausführungszeilen, Traces und Payloads werden automatisch gelöscht.

3. Maskierung von Zugangsdaten: Felder, die wie Zugangsdaten aussehen (API-Keys, Secrets, Tokens), werden in Lauf-Logs als maskiert. Eine PII-Maskierung erfolgt nicht* automatisch; die beste Verteidigung ist daher, personenbezogene Daten gar nicht erst durch Schritte zu schleusen, die sie nicht benötigen.

SOC2-Nachweissammlung automatisieren

Sie können SchemaBridge-Workflows nutzen, um Teile des Audits selbst zu automatisieren.

Der „Auditor-Bot“

Statt manuell Screenshots zu sammeln, erstellen Sie einen spezialisierten Workflow zur „Nachweissammlung“, der jeden Montag per Cron-Zeitplan läuft.

1. Scannen: Er fragt die GitHub-API ab, um alle in der Vorwoche gemergten PRs aufzulisten.

2. Prüfen: Er prüft, ob jeder PR ein „Approved“-Review von einem Code Owner hat.

3. Snapshot: Er erstellt einen JSON-Snapshot des Compliance-Status.

4. Archivieren: Er schreibt den Snapshot in einen Speicher, den Ihre Auditoren lesen können (über einen HTTP-Endpunkt, den Sie kontrollieren – idealerweise Write-once-Speicher).

Wenn der Auditor kommt, verweisen Sie ihn auf das Archiv statt auf einen Stapel Screenshots, und die Audit-Vorbereitungszeit schrumpft entsprechend.

{
  "week": "2026-W03",
  "mergedPullRequests": 42,
  "withCodeOwnerApproval": 42,
  "exceptions": []
}

Illustratives Szenario: Patienten-Onboarding in einem regulierten Umfeld

Betrachten wir ein hypothetisches HealthTech-Startup, das Formulare zur Patientenaufnahme automatisieren muss.

Die Herausforderung

Es muss nachweisen, dass:

1. Nur autorisiertes Personal den Aufnahme-Workflow ändern oder ausführen konnte.

2. Jede Änderung am Workflow und jedes Laufergebnis aufgezeichnet wurde.

3. Daten nie gegenüber Logging-Tools von Drittanbietern (Splunk/Datadog) offengelegt wurden.

Der Ansatz

1. Rollenbasierter Zugriff: Workspace-Rollen (admin, writer, reader) und Berechtigungs-Scopes beschränken, wer den Workflow bearbeiten, deployen und ausführen darf, und jede Rollenänderung landet im Audit-Trail.

2. Aufgezeichnete Läufe: Der Start jedes Aufnahme-Laufs und jede Operator-Auflösung stehen im Audit-Trail, der vollständige Statusverlauf liegt in der Laufhistorie, und die Payload jedes Schritts ist innerhalb der Plattform einsehbar, statt nach stdout geschrieben zu werden.

3. Die Lücken, die weiterhin bei ihnen lägen: SchemaBridge protokolliert nicht, wer eine Payload angesehen hat, hat keine HIPAA-spezifische Rolle und besitzt keine HIPAA-Zertifizierung. Protokollierung pro Ansicht und der regulatorische Papierkram blieben in ihrer Verantwortung.

Der voraussichtliche Nutzen

Ein solches Setup würde die Teile eines Audits, die Change-Management und Laufhistorie betreffen, deutlich weniger schmerzhaft machen – und zugleich ehrlich benennen, welche Teile die Plattform nicht abdeckt.

Vergleich: Traditionelles Logging vs. SchemaBridge-Audit-Trail

| :--- | :--- | :--- | :--- |

| Unveränderlichkeit | Niedrig (kann gelöscht werden) | Mittel (DBA kann bearbeiten) | Mittel–hoch (append-only auf Anwendungsebene; vom Betreiber kontrollierter Speicher) |

Experten-Checkliste für Compliance-Architektur

1. Keine PII loggen: Achten Sie darauf, was Sie auf stdout ausgeben und was Sie zwischen Schritten weiterreichen. Halten Sie personenbezogene Daten aus Payloads heraus, die sie nicht benötigen.

2. Nachweise automatisieren: Wenn Sie es manuell tun, werden Sie Fehler machen. Skripten Sie das Audit.

3. Aufgaben trennen: Wer den Workflow schreibt, sollte nicht derjenige sein, der die Admin-Schlüssel hält.

4. Die Löschung testen: Führen Sie regelmäßig „Mock-DSGVO-Anfragen“ durch, um zu prüfen, ob Ihre Lösch- und Aufbewahrungspfade tatsächlich funktionieren.

5. Die Grenzen Ihrer Plattform kennen: Fragen Sie jeden Anbieter – auch uns –, was genau aufgezeichnet wird, wie lange und ob es manipulationssicher nachweisbar ist. Schreiben Sie die Antworten in Ihre Kontrollbeschreibung.

Fazit: Vertrauen ist eine API

Bei Compliance geht es nicht um Papierkram, sondern um Vertrauen. Indem Sie Ihre Systeme auf einem Fundament aus aufgezeichneter, abfragbarer Historie aufbauen – und präzise benennen, was diese Historie garantiert und was nicht –, gelangen Sie von „Vertrauen Sie mir, ich bin ein guter Engineer“ zu „Hier ist der Nachweis.“

Teil unserer Reihe „Building the Bridge“. Siehe auch: Die Zukunft der Integration.