Security Data Retention 2026: Fristen richtig planen

Ein Angreifer bewegt sich im Schnitt wochenlang unentdeckt im Netzwerk. Die Standard-Log-Aufbewahrung vieler EDR-Lösungen (Endpoint Detection and Response) liegt aber oft nur bei 14 bis 30 Tagen. Wird der Einbruch erst nach sechs Wochen entdeckt, fehlen dann genau die Telemetriedaten, die zeigen würden, wie der Angreifer hereinkam und was er bereits eingesehen hat. Security Data Retention entscheidet damit direkt darüber, ob eine forensische Aufklärung nach einem Vorfall überhaupt möglich ist. Dieser Artikel zeigt, welche Fristen DSGVO, NIS2 und PCI DSS tatsächlich vorschreiben — prüfen Sie zuerst, welches Regelwerk für Ihr Unternehmen gilt, dann welche SentinelOne-Retention-Stufe dazu passt.

Was zählt eigentlich als Security Data?

Sicherheitsdaten im Sinne der Aufbewahrungsfrage sind vor allem: EDR-Telemetrie (Prozess-, Datei- und Netzwerkereignisse einzelner Endpoints), Firewall– und Proxy-Logs, Authentifizierungs-Logs sowie Ereignisse aus Security-Operations-Lösungen wie SIEM (zentrale Log-Auswertung) und MDR (Managed Detection and Response). Sie unterscheiden sich von klassischen Geschäftsdaten dadurch, dass ihr Wert stark vom Entdeckungszeitpunkt eines Vorfalls abhängt. Daten, die für eine Untersuchung gebraucht werden, sind oft schon Wochen oder Monate alt, wenn der Bedarf entsteht.

Genau das macht die Aufbewahrungsfrist schwierig festzulegen: Zu kurz, und nachträgliche Forensik wird unmöglich. Zu lang, und Speicherkosten sowie das Risiko bei einem eigenen Datenleck steigen unnötig. Beide Fehler kosten am Ende Geld.

Was schreiben DSGVO, NIS2 und PCI DSS konkret vor?

Keines der drei Regelwerke nennt für Security-Telemetrie eine einzelne, universell gültige Zahl von Tagen. Die Anforderungen unterscheiden sich im Ansatz:

• DSGVO (Art. 5 Abs. 1 lit. e): Speicherbegrenzungsgrundsatz — Daten dürfen nur so lange gespeichert werden, wie es der Zweck erfordert. Für Security-Logs ist der Zweck „Erkennung und Aufklärung von Vorfällen“, was eine mehrmonatige Aufbewahrung in der Regel rechtfertigt, aber dokumentiert werden muss.
• NIS2 / BSIG: Schreibt keine feste Aufbewahrungsfrist für Logs vor, verlangt aber Nachweis- und Meldefähigkeit bei Vorfällen. Ohne ausreichend lange Log-Historie lässt sich ein Vorfall im Nachhinein kaum vollständig rekonstruieren.
• PCI DSS (Requirement 10.5.1): Konkreter als DSGVO und NIS2 — mindestens 12 Monate Audit-Trail-Historie (chronologisches Protokoll aller sicherheitsrelevanten Ereignisse), davon die letzten 3 Monate sofort abrufbereit. Gilt für Unternehmen, die Kartenzahlungsdaten verarbeiten.

Wer keinem dieser spezifischen Regelwerke unterliegt, orientiert sich in der Praxis meist an der PCI-DSS-Zahl als Branchenstandard, auch ohne direkte Pflicht. Eine erste Einordnung der eigenen NIS2-Pflichten liefert die NIS2-Compliance-Checkliste für KMU.

SentinelOne Data Retention: Vier Stufen im Vergleich

SentinelOne bietet die Standard-Telemetrie-Aufbewahrung optional in vier Stufen zum Aufpreis an:

Alle vier Stufen werden pro Endpoint und mit 12 Monaten Laufzeit lizenziert. Wer branchenspezifische Prüfpflichten hat (Finanzsektor, Kartenzahlungsverarbeitung), sollte direkt bei der 365-Tage-Stufe einsteigen — sie deckt den PCI-DSS-Mindestwert vollständig ab. Bei 50 Endpoints kostet die 365-Tage-Stufe rund 4.333 € netto jährlich, die 30-Tage-Stufe rund 879 €. Dieser Preisunterschied spiegelt vor allem das Risikoprofil des Unternehmens wider — nicht die reine Speichertechnik dahinter.

Aufbewahrung vs. Backup: Zwei unterschiedliche Zwecke

Security Data Retention wird in der Praxis oft mit Backup-Aufbewahrung verwechselt. Beide speichern Daten über Zeit, dienen aber unterschiedlichen Zwecken. Ein Backup stellt den Betriebszustand eines Systems nach Datenverlust oder Ransomware wieder her; es enthält Dateien und Konfigurationen, aber keine Verhaltens-Telemetrie. Die Aufbewahrungsfrist für Security-Daten betrifft dagegen Ereignisprotokolle — welcher Prozess wann welche Datei geöffnet, welche Verbindung aufgebaut oder welcher Nutzer sich wo angemeldet hat.

Für die Wiederherstellung nach einem Ransomware-Vorfall reicht ein aktuelles Backup. Für die Klärung, wie der Angreifer ins Netzwerk kam und welche Systeme er vor der Verschlüsselung bereits kompromittiert hatte, braucht es die längere Security-Retention. Beide Aufbewahrungsarten ergänzen sich. Ein Unternehmen mit vorbildlicher 3-2-1-Backup-Strategie kann trotzdem forensisch blind sein, wenn die EDR-Logs schon nach 14 Tagen gelöscht werden.

Wie lange sollten Sicherheitsdaten aufbewahrt werden?

Ohne spezifische Regulatorik-Pflicht sind 90 bis 180 Tage für die meisten KMU ein sinnvoller Kompromiss zwischen Forensik-Fähigkeit und Speicherkosten. Unternehmen mit PCI-DSS-Pflicht oder hohem Zielwert für Angreifer (Finanzsektor, kritische Infrastruktur) sollten auf 365 Tage gehen, weil verzögert entdeckte Angriffe sonst forensisch nicht mehr aufklärbar sind. Unsicher, welche Stufe zur eigenen Risikolage passt? Der Produktberater hilft bei der Einordnung.

Aufbewahrungsfrist festlegen: So gehen Sie vor

1. Regulatorik prüfen: Gilt PCI DSS, branchenspezifisches Aufsichtsrecht (BAIT/VAIT) oder nur die allgemeine DSGVO-Speicherbegrenzung?
2. Risikoprofil einschätzen: Wie attraktiv ist das Unternehmen als Ziel für gezielte, lang angelegte Angriffe statt Massen-Malware?
3. Speicherkosten kalkulieren: Aufpreis pro Retention-Stufe gegen den Wert einer vollständigen forensischen Aufklärung abwägen.
4. Dokumentieren: Die gewählte Frist im Verarbeitungsverzeichnis mit der Zweckbindung nach DSGVO Art. 5 begründen.
5. Testlauf einplanen: Vor der endgültigen Wahl der Stufe eine simulierte Vorfallsuntersuchung mit den vorhandenen Logs durchführen — zeigt konkret, ob die aktuelle Aufbewahrung für eine vollständige Rekonstruktion ausreicht.

Diese fünf Schritte lassen sich in der Regel innerhalb eines Nachmittags durchgehen und liefern eine belastbare Grundlage für die Entscheidung, statt die Stufe allein nach Budget zu wählen.

Der SentinelOne Hersteller-Hub im Cyber-Shop zeigt alle Retention-Stufen zusammen mit den passenden EDR-Lizenzen. Bei Unsicherheit, welche Stufe zur eigenen Risikolage passt, hilft der Produktberater in einem kurzen Gespräch.

Häufige Fragen zu Security Data Retention

Reicht die Standard-Aufbewahrung von SentinelOne ohne Zusatzpaket?

Die Standard-Retention deckt in der Regel 14 Tage ab und reicht für akute, schnell entdeckte Vorfälle. Für Forensik bei spät entdeckten Angriffen oder regulatorische Nachweispflichten ist eine der vier kostenpflichtigen Zusatzstufen nötig.

Gilt PCI DSS auch für Unternehmen ohne eigenen Kartenzahlungsverkehr?

Nein, PCI DSS bindet direkt nur Unternehmen, die Kartendaten verarbeiten, speichern oder übertragen. Andere Unternehmen orientieren sich freiwillig daran, weil es der etablierteste konkrete Standard für Log-Aufbewahrung ist.

Was passiert mit Sicherheitsdaten nach Ablauf der Aufbewahrungsfrist?

Nach Ablauf werden die Telemetriedaten in der SentinelOne-Cloud automatisch gelöscht. Eine Verlängerung der Frist muss vor Ablauf der aktuellen Stufe gebucht werden, rückwirkend lassen sich gelöschte Daten nicht wiederherstellen.

Muss die Aufbewahrungsfrist im Verarbeitungsverzeichnis dokumentiert werden?

Ja, Art. 30 DSGVO verlangt im Verarbeitungsverzeichnis die Angabe vorgesehener Löschfristen. Die technische Einstellung im Tool allein reicht als Dokumentation nicht aus — die gewählte Frist muss sich daraus nachvollziehbar ableiten lassen.

Kann ich die Retention-Stufe nachträglich wechseln?

Ein Wechsel ist zum Ende der laufenden 12-Monats-Lizenz möglich. Ein rückwirkender Wechsel auf eine höhere Stufe stellt bereits gelöschte Daten nicht wieder her.

Fazit: Aufbewahrungsfrist als Teil der Incident-Response-Fähigkeit

Security Data Retention entscheidet mit, ob ein Unternehmen einen spät entdeckten Angriff überhaupt noch forensisch aufklären kann — das ist eine Business-Frage, keine reine IT-Einstellung. Wer keine feste regulatorische Vorgabe hat, orientiert sich am PCI-DSS-Standard von 12 Monaten als Richtwert. Welche SentinelOne-Retention-Stufe zur eigenen Risikolage und zum Budget passt, klärt der Produktberater direkt anhand der bestehenden EDR-Umgebung.