Audit Trail: wer was wann getan hat — und warum Sie der Antwort trauen können
Wie append-only Events, eine Review-Schicht für Menschen und eine manipulationssichere Hash-Chain aus „ich glaube“ Evidence machen.
Ein Audit Trail, der editiert werden kann, ist kein Audit Trail. Er ist ein Arbeitsdokument mit ernstem Hut. ReVend OS ist so gebaut, dass kritische Aktivität später rekonstruierbar ist: wer gehandelt hat, was sich geändert hat, welcher Record berührt wurde und ob der Trail selbst noch aufgeht.
Activity Events
Server-seitige Mutations, sensible Reads, Dokumentzugriffe, Evidence-Downloads, Cron-Ergebnisse, Webhook-Resultate, Admin Overrides und Security Events schreiben Activity Rows. Sie tragen Actor, Tenant, Action, Outcome, Sensitivity und begrenzte Metadata. Rohe Secrets, Passwörter, signierte URLs und Zahlungsdaten gehören dort nicht hin. Der Sanitizer hilft, aber die eigentliche Strategie ist, gefährliche Dinge gar nicht erst in die Kiste zu legen.
Manipulationssichere Chain
Audit Events werden pro Tenant mit einem SHA-256-Hash verkettet, beginnend bei einer GENESIS-Zeile. Jedes neue Event enthält den vorherigen Head, eine stille Änderung bricht also die Chain, und eine Verify-Routine kann sie ablaufen. Das macht die Datenbank für sich noch nicht zum Gerichtssaal, aber es gibt der Plattform einen Weg zu erkennen, dass die Geschichte nicht mehr zu sich selbst passt. Auditoren mögen Geschichte, die Blickkontakt halten kann.
Die Review-Seite liest sich wie ein Satz
/general/activity ist die Ansicht für Menschen, und sie beginnt mit menschlicher Sprache: Jede Zeile öffnet mit einer klaren Zusammenfassung dessen, was passiert ist, nicht mit einem Maschinenstatus. Dieselbe Zusammenfassung ist die erste Zeile im Detailpanel, im CSV-Export und in den kleinen Recent-Activity-Panels auf anderen Screens. Source, Correlation und zusätzliche Metadata bleiben verfügbar, wo sie Bedeutung hinzufügen; leere Metadata und doppelte Resource-IDs sind kein Produktdetail.
Filter halten die Antwort brauchbar, statt den Screen in Konfetti zu verwandeln: Suche, Domain, Action, Outcome, Sensitivity, Visibility, Source Table, Zeitraum und, wo der Platform Scope es zulässt, Organisation. Der CSV-Export fragt vorher — die aktuelle Seite oder alles, was Ihren Filtern entspricht — und für „alles, was den Filtern entspricht“ ist ein Zeitraum Pflicht, damit ein Export nicht versehentlich nach der gesamten Historie greift.
Platform Staff liest ihn über Tenants hinweg und hat zusätzlich eine Activity-Seite auf der Admin-Seite. Tenant Admins sehen ihren eigenen Tenant, sensible Zeilen inklusive, aber nie platform-only Zeilen. Gewöhnliche Tenant User sehen den Menüpunkt und keine Daten: Die Seite sagt ihnen, dass das Activity Log für Tenant Admins ist, was besser ist als ein 404, das so tut, als gäbe es sie nicht.
Schauen ist kein Tun
Ein gewöhnlicher Seitenaufruf ist keine Geschäftshandlung. Eine Route öffnen, neu laden, suchen, sortieren, blättern, Tabs wechseln, ein Modal öffnen, einen Filter ändern — nichts davon schreibt Activity, weil nichts davon Daten, Status, Rechte, Evidence, Geld, Veröffentlichung, einen Supportfall, eine Security Posture oder Integrationsverhalten ändert. Ein Trail, der das Schauen loggt, begräbt den Trail, der das Tun loggt.
Wirklich sensible Reads sind etwas anderes: cross-tenant Platform Context, Dokumentzugriff, Support-Anhänge und über die API gezogene Bid History werden als sensible Reads erfasst — dedupliziert oder über eine Evidence-Linse sichtbar gemacht — und nicht als generischer „Seite angesehen“-Lärm.
Gruppieren ist Darstellung, nicht Löschung
Aufeinanderfolgende, informationsarme System- und Runtime-Events mit gleichem Scope, gleicher Bedeutung, gleichem Outcome und gleicher Resource dürfen in der Review-Schicht zu einer Zeile mit Anzahl und Zeitspanne gruppiert werden. Die einzelnen Zeilen bleiben im Detailpanel, und der CSV-Export schreibt sie weiterhin einzeln heraus. Menschliche Geschäftshandlungen werden nie zusammengefaltet, so ähnlich sie auch aussehen. Zwei Leute, die dasselbe zweimal tun, sind ein Fakt und kein Duplikat.
Was der Auditor prüft
Der Trail belegt Integrität, Urheberschaft, Chronologie und Vollständigkeit. Wenn sich ein Record bewegt hat, soll ReVend zeigen, wer ihn bewegt hat, wann, warum es erlaubt war und welche Evidence mitging. Wenn die Antwort „vermutlich Dave“ lautet, ist das Audit bereits schlecht gelaufen.