Schritt 4 von 6 · Testing - Praxis-Kit
Vorlage Evidenzprotokoll
Erfasst ein einzelnes Evidenzstück mit Stufe, Status, Maßgeblichkeit, Integrität und Umgang.
Diese Vorlage verwenden
Eine Vorlage ist keine Evidenz. Nur bereinigte Kennungen eintragen.
Zweck
Macht jede Aussage in einem Lauf oder Befund auf eine zurechenbare Quelle mit bekannten Grenzen rückführbar.
Einsatz: Bei jeder Erfassung von Evidenz während eines Laufs sowie bei der Prüfung eines Befunds oder Nachtests.
Identität und Erfassung
| Feld | Was zu erfassen ist |
|---|---|
| Evidenzprotokoll-ID | Eindeutige Kennung, etwa EV-0142. |
| Assessment- / Fall- / Lauf-IDs | Verweise auf Plan, Fall und Lauf. |
| Erfasst von | Person oder automatisierter Collector. |
| Erfassungszeit / Zeitzone | Wann erfasst wurde, nicht wann das Ereignis stattfand. |
| Quellsystem | Komponente, die den Datensatz erzeugt hat. |
| Quellart | Anwendungslog, Kontrollentscheidungslog, Tool-Gateway-Log, Anbieter-Audit, Zustand im maßgeblichen System, Detektoralarm, Chatverlauf. |
| Korrelations- / Request- / Trace-ID | Kennung, die die Evidenz mit dem Lauf verknüpft. |
Einordnung
| Feld | Was zu erfassen ist |
|---|---|
| Evidenzstufe | Eine der acht Stufen unten. |
| Evidenzstatus | Beobachtet, nicht beobachtet, nicht verfügbar oder nicht anwendbar. |
| Maßgeblich oder modellsichtbar | Maßgebliche Datensätze stammen aus Anwendungs-, Anbieter- oder Kontrollsystemen. Modellausgaben und Modellaussagen sind modellsichtbar und können die Stufen 5 bis 8 nicht belegen. |
| Normalisierte Beobachtung | Ein sachlicher Satz dazu, was der Datensatz zeigt. |
| Belastbarkeit / Grenzen | Was den Datensatz irreführend machen könnte: Stichproben, Zeitabweichung, fehlende Felder. |
Integrität und Umgang
| Feld | Was zu erfassen ist |
|---|---|
| Ort / Verweis der Rohquelle | Pfad oder Abfrage zum Rohdatensatz. Echte Geheimnisse oder personenbezogene Daten nie einfügen, sondern referenzieren. |
| Integrität / Hash / Version | Hash oder unveränderliche Version, soweit die Quelle dies unterstützt. |
| Aufbewahrungsdauer | Wie im Testplan festgelegt. |
| Beweiskette / Umgangsnotiz | Wer auf den Datensatz zugegriffen oder ihn verändert hat und wie. |
| Verwandte Evidenz-IDs | Datensätze, die diesen stützen oder ihm widersprechen. |
Gültige und unzureichende Evidenz je Stufe
| Stufe | Gültige Evidenz / allein nicht ausreichend |
|---|---|
| 1. Quelle und Provenienz | Gültig: Ingestion-Log mit Quelle und Vertrauenslabel. Nicht ausreichend: das Modell nennt die Quelle. |
| 2. Modellsichtbarer Kontext | Gültig: Orchestrierungslog des zusammengesetzten Kontexts oder IDs abgerufener Chunks. Nicht ausreichend: die Fixture existiert im Korpus. |
| 3. Modell- oder Planeinfluss | Gültig: erfasster Plan oder erfasste Ausgabe im Vergleich zur Baseline. Nicht ausreichend: eine einzelne Ausgabe ohne Baseline. |
| 4. Vorgeschlagene Aktion | Gültig: strukturierter Tool-Aufrufvorschlag mit Parametern. Nicht ausreichend: Fließtext, der eine Handlung ankündigt. |
| 5. Kontrollentscheidung | Gültig: Richtlinienentscheidung mit Richtlinienversion. Nicht ausreichend: das Fehlen einer Fehlermeldung. |
| 6. Übermittlung / Ausführung | Gültig: Ausführungslog von Tool-Gateway oder Anbieter. Nicht ausreichend: das Modell meldet 'erledigt'. |
| 7. Nachgelagerte Wirkung | Gültig: Zustand aus dem maßgeblichen System oder Anbieter-Audit. Nicht ausreichend: 'Ich habe den Datensatz geändert' in der Modellausgabe. |
| 8. Sicherheitsauswirkung | Gültig: Evidenz aus Stufe 7, gegen die Richtlinie nach Principal, Ressource, Aktion und Ziel eingeordnet. Nicht ausreichend: ein Detektoralarm, der eine Beobachtung stützt, aber keine Auswirkung belegt. |
Bedeutung des Evidenzstatus
| Status | Bedeutung |
|---|---|
| Beobachtet | Ein maßgeblicher Datensatz zeigt, dass der Zustand eintrat. |
| Nicht beobachtet | Die Quelle war verfügbar und zeigt keinen solchen Zustand. Nicht gleichbedeutend mit sicher oder bestanden. |
| Nicht verfügbar | Die Quelle fehlte, war unvollständig oder wurde nicht aufbewahrt. Führt zu Nicht schlüssig, wenn die Stufe erforderlich ist. |
| Nicht anwendbar | Die Stufe kann in diesem Falldesign nicht eintreten; Begründung angeben. |
So wird diese Vorlage genutzt
- Einen Datensatz pro Quelle und Stufe anlegen; nicht bündeln.
- Die normalisierte Beobachtung als Tatsache formulieren, ohne Deutung.
- Die Maßgeblichkeit einordnen, bevor der Datensatz in eine Schlussfolgerung einfließt.
- Sensibles Material per Ort referenzieren; Geheimnisse bleiben aus Berichten heraus.
Häufige Fehler
- Chatverläufe als maßgeblich für Ausführung oder Wirkung behandeln.
- Nicht verfügbare Logs als nicht beobachtet erfassen.
- Echte Tokens oder personenbezogene Daten in Evidenznotizen kopieren.
- Einen Detektoralarm als Beleg für eine Auswirkung verwenden.
- Keine Zeitstempel oder Zeitzone, sodass keine Korrelation möglich ist.