Beginne mit dem Protokoll, nicht mit Vermutungen
Wenn etwas an deinem GitHub-Konto anders aussieht, ist der sinnvollste erste Schritt, einen Datensatz abzurufen, den du kontrollierst, statt Ereignisse aus dem Gedächtnis zu rekonstruieren. GitHubs persönliches Sicherheitsprotokoll ist dieser Datensatz.
GitHubs persönliches Sicherheitsprotokoll enthält Aktionen der letzten 90 Tage. Quelle
Da das Protokoll auf ein aktuelles Zeitfenster begrenzt ist, exportiere früh. Ereignisse, die außerhalb dieses Fensters liegen, erscheinen später nicht mehr, und du kannst sie nicht durch Warten wiederherstellen.
Wo das Protokoll liegt und was du filtern kannst
Das Protokoll ist in den Kontoeinstellungen unter Archiv, Sicherheitsprotokoll verfügbar und unterstützt Filter wie Akteur, Repository und Aktion. Quelle
Die Filter sind wichtiger als die reine Menge. Wenn du nach Akteur, Repository oder Aktion eingrenzt, kannst du den Zeitraum und die Oberfläche isolieren, die dich interessieren, statt durch unzählige Routinetätigkeiten zu scrollen.
Exportiere eine private Kopie, bevor du analysierst
Das Menü „Exportieren“ lädt JSON oder CSV herunter; unterstützte Filter können den Export eingrenzen. Quelle
Behandle die exportierte Datei als sensibel. Sie enthält einen Datensatz der Kontoaktivitäten, einschließlich Akteuren und Aktionen, und kann persönliche oder organisatorische Zusammenhänge offenlegen. Bewahre sie an einem privaten Ort auf, teile sie nur mit Personen, die dir direkt bei der Untersuchung helfen, und vermeide es, sie in öffentliche Threads oder Issue-Tracker einzufügen. Wenn du später eine Kopie an ein Support-Team der Plattform weitergeben musst, teile den am engsten gefilterten Export, der deren Frage beantwortet.
Erstelle ein Arbeitsblatt für die Vorfallszeitleiste
Ein Protokollexport ist eine Liste von Ereignissen, keine Erzählung. Wandle ihn in ein Arbeitsblatt um, damit Beobachtungen, Interpretationen und offene Fragen getrennt bleiben. Eine einfache Struktur funktioniert:
| Spalte | Was hineingehört | Warum es wichtig ist |
|---|---|---|
| Ereignis | Eine kurze Bezeichnung für das, was passiert ist | Macht die Zeile später schnell erfassbar |
| Zeit | Der Zeitstempel wie aufgezeichnet, mit angegebener Zeitzone | Verhindert Reihenfolgefehler |
| Akteur | Das Konto oder die Kennung, die als handelnd aufgezeichnet wurde | Identifiziert die aufgezeichnete Quelle, nicht eine Person |
| Aktion | Was laut Protokoll getan wurde | Hält die Zeile sachlich |
| Sicherheit | Wie sicher du bist, dass diese Zeile relevant und korrekt gelesen ist | Trennt starke Zeilen von spekulativen |
| Offene Frage | Was du noch prüfen musst | Verhindert, dass Annahmen zu Fakten werden |
Fülle das Arbeitsblatt aus dem Export, eine Zeile pro Ereignis, das du als relevant einstufst. Nutze die Spalte „Sicherheit“ ehrlich: Eine Zeile, die du direkt aus dem Export gelesen hast, ist stärker als eine Zeile, die du aus einer bemerkten Änderung abgeleitet hast. Wenn du eine Änderung bemerkt hast, aber kein passendes Ereignis findest, halte das als offene Frage fest, nicht als Schlussfolgerung.
Trenne beobachtete Aktionen von Beweisen dafür, wer sie ausgeführt hat
Das ist der Punkt, an dem die meisten Zeitleisten falsch liegen. Ein Eintrag im Protokoll sagt dir, was laut Aufzeichnung passiert ist und welche Akteurskennung damit verbunden ist. Er belegt für sich genommen nicht, welcher Mensch an der Tastatur saß. Gemeinsam genutzte Geräte, wiederverwendete Sitzungen, kompromittierte Zugangsdaten und legitime Automatisierung können alle Einträge erzeugen, die wie eine handelnde Person aussehen.
Behalte beim Prüfen zwei Denkspalten im Kopf:
- Beobachtet: das Ereignis, die Zeit, der Akteur und die Aktion wie aufgezeichnet.
- Nicht belegt: wer es physisch ausgeführt hat, warum, und ob die Akteurskennung der Person entspricht, die du annimmst.
Schreibe Schlussfolgerungen nur dann in die zweite Kategorie, wenn du unabhängige Beweise hast. Bis dahin gehören sie in die Spalte der offenen Fragen.
Lies ein fehlendes Ereignis nicht als Beweis für nichts
Eine leere Stelle im Export ist kein Beweis für Untätigkeit. Das Protokoll deckt ein definiertes aktuelles Zeitfenster ab, und ein Export spiegelt die von dir angewendeten Filter wider. Wenn du nach einem Repository gefiltert hast, erscheinen Ereignisse in anderen Repositories nicht. Wenn die Änderung, die dir Sorgen macht, außerhalb des Fensters stattgefunden hat, wird sie nicht dort sein. Halte Abwesenheiten als Lücken fest, die untersucht werden müssen, nicht als beruhigende Bestätigung.
Wenn du den Zugriff verloren hast
Wenn du dich nicht anmelden kannst, um überhaupt auf das Protokoll zuzugreifen, höre auf, Ereignisse von außen zu rekonstruieren, und nutze GitHubs offiziellen Kontowiederherstellungsprozess. Die Wiederherstellung ist der Weg, der deine Fähigkeit zur Überprüfung des Kontos wiederherstellt. Bitte Dritte nicht, in deinem Namen auf das Konto zuzugreifen, und betrachte einen bloßen Passwort-Reset nicht als abgeschlossene Untersuchung; sobald der Zugriff wiederhergestellt ist, exportiere das Protokoll und erstelle die Zeitleiste für den Zeitraum um die Änderung herum.
Eine kurze Checkliste
- Exportiere das Sicherheitsprotokoll, bevor das 90-Tage-Fenster weiterläuft.
- Bewahre den Export privat auf und notiere Datum und Zeitzone des Exports.
- Wende Filter an, um den Zeitraum und die Oberfläche zu isolieren, die dich interessieren, und exportiere dann die eingegrenzte Ansicht, wenn es hilft.
- Erstelle das Arbeitsblatt mit den Spalten Ereignis, Zeit, Akteur, Aktion und Sicherheit.
- Markiere jede Zeile als beobachtet oder abgeleitet und halte offene Fragen getrennt.
- Halte fehlende Ereignisse als Lücken fest, nicht als Beweis für nichts.
- Wenn der Zugriff verloren geht, nutze zuerst die offizielle Wiederherstellung und kehre dann zu Schritt 1 zurück.
Ein sinnvoller nächster Schritt
Sobald du eine Zeitleiste hast, ist die nächste Frage oft, welche anderen Konten mit demselben Namen oder denselben Kennungen verbunden sind. Das ist eine andere Aufgabe als das Lesen eines Sicherheitsprotokolls und hat ihre eigene Methode: siehe wie man alle mit einem Namen verknüpften Konten findet. Halte die beiden Untersuchungen getrennt, damit Erkenntnisse aus der einen nicht als Beweis in der anderen missverstanden werden.