Die Serverprotokolle machen oft auch Anfragen sichtbar, die in den Besucherstatistiken nicht erscheinen. Die Analyse der Webserver-Protokolle zeigt, welche Websites oder Dateien abgerufen wurden, wann die Anfrage erfolgte und welcher HTTP-Statuscode zurückgegeben wurde. Der Code 200 bedeutet einen erfolgreichen Zugriff, während der Code 404 auf eine nicht vorhandene Website hinweist.

Wenn Sie nach einem Fehler suchen oder verstehen möchten, was Suchroboter indexieren, liefert das Webserver-Protokoll detaillierte Hinweise. Jeder Eintrag kann eine an den Server gesendete Anfrage aufzeichnen, einschließlich der Abfragen von Robotern. Das Feld „User-Agent“ kann dabei helfen, die Art der Anfrage zu erkennen, beweist jedoch für sich genommen nicht, dass die Anfrage tatsächlich von dem genannten Bot gesendet wurde.

Im Folgenden lernen Sie die wichtigen Felder von Log-Einträgen und die Bedeutung der häufigsten HTTP-Codes kennen und erfahren zudem, worin sich das Server-Log von der Webanalyse unterscheidet. Wir geben Ihnen einen Überblick darüber, wozu es bei der Analyse des Bot-Traffics genutzt werden kann und wann es sinnvoll ist, eine Tabellenkalkulation oder ein Tool zur Log-Auswertung zu verwenden. So können Sie genauer erkennen, was auf dem Server geschieht und welche Fehler Ihre Aufmerksamkeit erfordern.

Überprüfung der HTTP-Statuscodes

Der Webserver sendet eine HTTP-Antwort an den Browser, wobei der Statuscode angibt, was mit der Anfrage geschehen ist. Interpretieren Sie den Code im Log zusammen mit der betreffenden URL, dem Zeitpunkt und der Anfrage.

Aus Sicht der DSGVO kann die IP-Adresse oder eine andere Kennung im Log personenbezogene Daten enthalten. Daher müssen der Zweck der Datenverarbeitung, der Zugriff darauf sowie deren Aufbewahrung in begrenzter und transparenter Weise gehandhabt werden. In der EU bestimmen diese datenschutzrechtlichen Aspekte den Umgang mit Webserver-Logs.

Zu den Risiken bei der Speicherung von Protokollen zählen unbefugter Zugriff und eine zu lange Aufbewahrungsdauer. Verringern Sie diese Risiken, indem Sie Zugriffsrechte einschränken, die gespeicherten Daten schützen und nicht mehr benötigte Protokolldaten löschen.

HTTP-Antworten und Statuscodes

Die HTTP-Antwort ist die Reaktion des Servers auf eine Anfrage des Browsers oder eines anderen Clients, wobei der Statuscode das Ergebnis dieser Anfrage zusammenfasst. Der Code 200 bedeutet einen erfolgreichen Zugriff, während der Code 301 eine endgültige und der Code 302 eine vorübergehende Weiterleitung anzeigt. Die Überprüfung dieser Codes hilft dabei festzustellen, ob der Nutzer auf die erwartete Seite gelangt oder sich auf einem fehlerhaften Weiterleitungsweg befindet.

Analyse von HTTP-Fehlercodes

Die Analyse von HTTP-Fehlercodes dient dazu, die Art und Häufigkeit fehlerhafter Anfragen in den Log-Einträgen zu ermitteln. Laut der Internet Assigned Numbers Authority (IANA) weisen 4xx-Statuscodes auf einen Client-Fehler hin, während 5xx-Statuscodes einen Serverfehler signalisieren; somit lässt sich anhand dieser Codes die Verteilung der Fehler messen. Der Code 404 weist auf eine nicht vorhandene angeforderte Seite hin, der Code 503 auf einen vorübergehend nicht erreichbaren Server. Überprüfen Sie auch die betroffenen URLs und Zeitpunkte.

In der Praxis sollten Sie die Einträge zunächst nach Statuscodes gruppieren und anschließend ermitteln, welche Dateien oder Seiten doppelt vorhanden sind. Ein 404-Fehler kann beispielsweise auf einen Tippfehler, gelöschten Inhalt oder einen fehlerhaften internen Link zurückzuführen sein. Das wiederholte Auftreten von 503-Antworten kann hingegen auf ein serverseitiges Erreichbarkeitsproblem hindeuten. Der Statuscode allein gibt keinen Aufschluss über die Ursache; prüfen Sie ihn daher zusammen mit dem Zeitstempel und der betreffenden Anfrage.

Der ideale HTTP-Statuscode für die Seiten Ihrer Website ist 200 oder 301. Sollte die alte Adresse einer verschobenen Seite einen 404-Fehler zurückgeben, überprüfen Sie bitte die Weiterleitungsregel. Eine Weiterleitung mit Meta-Tag-Aktualisierung ist aus SEO-Sicht nicht empfehlenswert; stattdessen wird eine permanente 301-Weiterleitung empfohlen. Eine falsch konfigurierte Weiterleitung kann den Nutzer auch dann in die Irre führen, wenn kein Fehlercode ausgegeben wird; überprüfen Sie daher auch die Zielseite.

Protokolle des Apache-HTTP-Servers

Das Zugriffsprotokoll des Apache-HTTP-Servers kann zur Analyse von Anfragen und Antworten verwendet werden. Auf Debian- und Ubuntu-Systemen befindet sich das Protokoll standardmäßig unter „/var/log/apache2/access.log“, auf RHEL-, Red Hat-, CentOS- und Fedora-Systemen unter „/var/log/httpd/access_log“. Auf FreeBSD-Systemen befindet sich die Datei unter „/var/log/httpd-access.log“. Die Kenntnis des entsprechenden Pfads hilft dabei, den Eintrag der jeweiligen Anfrage schnell zu finden.

Suchen Sie im Apache-Protokoll nach dem betreffenden Zeitpunkt, der URL und dem HTTP-Statuscode und vergleichen Sie diese mit ähnlichen Anfragen. Wenn beispielsweise dieselbe Seite wiederholt den Status 404 zurückgibt, prüfen Sie, ob sich die Adresse der Seite geändert hat oder ob die Datei tatsächlich verfügbar ist. Unter anderem kann auch das zeitliche Muster wiederkehrender 5xx-Antworten dabei helfen, einen gelegentlichen Fehler von einem anhaltenden Serverproblem zu unterscheiden.

Identifizierung von Suchmaschinen-Robots und die Grenzen des User-Agents

Der Webserver empfängt und verarbeitet die bei ihm eingehenden HTTP-Anfragen und sendet anschließend eine Antwort an den Client. Anhand der Log-Einträge können Sie überprüfen, welche Seiten von den Suchrobotern abgerufen wurden, wie oft diese zurückgekehrt sind und wie lange die Indizierung gedauert hat.

Crawling von Websites durch Suchmaschinen-Robots

Die Analyse der Crawling-Aktivitäten von Suchmaschinen-Robotern umfasst die Überprüfung der Anfragen, die diese an den Server richten. Sie zeigt, welche URLs gecrawlt werden, und hilft dabei, festzustellen, ob wichtige Inhalte übersehen werden oder die Aufmerksamkeit auf fehlerhafte Adressen gelenkt wird. Das Protokoll kann jede Anfrage aufzeichnen, die den Server tatsächlich erreicht, einschließlich derer von Robotern.

Suchen Sie die Einträge anhand des User-Agent-Feldes und vergleichen Sie anschließend die Zeitstempel und die angeforderten URLs. Wenn beispielsweise ein Bot regelmäßig dieselbe Adresse abfragt, überprüfen Sie, ob die Seite erreichbar ist und ob der Server die erwartete Antwort liefert. Wenn das Protokoll auch die Anfragen der Browser Ihrer Nutzer enthält, können die Art und die Häufigkeit der Anfragen dabei helfen, den Datenverkehr zu unterscheiden.

Analyse der Indizierung durch Suchmaschinen-Crawler

Die Analyse der Crawling-Aktivitäten zeigt anhand der von den Bots angeforderten Seiten, der Häufigkeit der Anfragen und der Verarbeitungszeit das Crawling-Muster auf. Dies ist nützlich, da es verdeutlicht, worauf der Bot sein Augenmerk richtet und wo technische Hindernisse auftreten könnten. Im Protokoll kann die Dauer des Crawlings auch in Millisekunden angegeben werden.

Gruppieren Sie die Anfragen nach URL-Familien, beispielsweise nach Produktseiten, Bildern oder Suchergebnissen. Prüfen Sie anschließend, ob die Robots erneut auf dieselben Seiten zugreifen und ob sie zu den wichtigen Inhalten gelangen. Wenn Sie im Log viele ungültige oder wenig aussagekräftige Adressen sehen, können Sie anhand der Einträge herausfinden, auf welche URLs die Anfragen abzielen. Das Muster zeigt auch, ob der Crawl aus schnellen, kurzen Anfragen oder aus längeren Serverprozessen besteht.

Die Grenzen des User-Agents

Der User-Agent ist eine textuelle Kennung in der HTTP-Anfrage, die den Browser oder eine als Roboter auftretende Software identifiziert. Er dient als nützliches Filterkriterium, belegt jedoch für sich genommen nicht die tatsächliche Herkunft der Anfrage. Der im Log-Eintrag enthaltene Text „Googlebot“ ist daher lediglich ein Hinweis und kein verlässlicher Beweis dafür, dass die Anfrage tatsächlich vom Google-Roboter gesendet wurde.

Berücksichtigen Sie bei der Auswertung nicht nur dieses Feld. Vergleichen Sie die Pfade der mit der ID gekennzeichneten Anfragen, deren zeitliche Verteilung sowie die Antworten des Servers. Wenn der User-Agent auf einen Roboter hindeutet, die Anfragen jedoch ungewöhnliche Seiten wiederholt aufrufen, behandeln Sie diesen Datenverkehr als gesondert zu untersuchenden Fall. Aus dem Protokoll lässt sich zwar zweifelsfrei feststellen, welche HTTP-Anfrage der Webserver erhalten und welche Antwort er gegeben hat, jedoch nicht unbedingt, wer hinter der Anfrage stand.

Mithilfe der Log-Analyse-Software können Sie User-Agent-Werte, URLs und Zeitstempel filtern. Auf diese Weise können Sie die als Bot identifizierten Anfragen mit der tatsächlich angeforderten Website und der Antwortzeit abgleichen. Die Analyse der Webserver-Logs ermöglicht es, die Zugriffsmuster zu erfassen, wobei die Identifikatoren weiterhin mit Vorsicht interpretiert werden müssen.

Tools zur Log-Verarbeitung: Tabellenkalkulationsprogramme, Splunk, Sumo Logic und Elastic Stack

Zur Analyse von Apache- und Nginx-Protokollen suchen Sie zunächst die entsprechende Datei und wählen Sie anschließend ein Tool aus, das der Größe der Protokolldatei angemessen ist. Kleinere Dateien können Sie auch mit einer Tabellenkalkulationssoftware filtern; für die Verarbeitung großer Mengen an Webserver-Zugriffsdaten empfiehlt sich ein Protokollanalysesystem.

Bei der Analyse der Apache- und Nginx-Protokolle identifizieren Sie zunächst die Datei, wählen Sie dann einen Zeitraum aus, filtern Sie nach URLs oder Statuscodes und vergleichen Sie schließlich die wiederkehrenden Einträge. Bei Apache hängt der Speicherort des Protokolls vom jeweiligen System ab, bei Nginx ist das Standardverzeichnis „var/log/nginx/“.

Kleinere Log-Dateien können Sie auch in Excel verarbeiten und segmentieren. Splunk, Sumo Logic und der Elastic Stack sind Log-Verarbeitungswerkzeuge, die Ihnen dabei helfen können, größere Datenmengen zu überblicken. Die Wahl hängt von der Größe der Log-Datei sowie von den erforderlichen Filterungen, Suchvorgängen und Zusammenfassungen ab.

Tabellenkalkulationsprogramm für kleine Datenmengen. Sofern das Format dies zulässt, ordnen Sie die Felder des Protokolls in Excel in Spalten an. Filtern Sie anschließend die Zeilen beispielsweise nach URL oder HTTP-Statuscode und zählen Sie die Wiederholungen zusammen. Auf diese Weise erhalten Sie schnell einen Überblick darüber, welche Einträge sich auf eine ausgewählte Datei oder Seite beziehen. Bei großen Dateien wird das manuelle Sortieren und Filtern mühsam, daher empfiehlt es sich, einen speziellen Log-Analysator zu verwenden.

Spezialisierte Systeme für größere Datenmengen. Splunk, Sumo Logic und der Elastic Stack können zum Durchsuchen, Filtern und übersichtlichen Darstellen von Protokollen verwendet werden. Wenn Sie beispielsweise nach einer bestimmten URL suchen, können Sie die in den Apache- oder Nginx-Protokollen aufgezeichneten Anfragen miteinander vergleichen. Das Filtern nach Statuscodes hilft dabei, fehlerhafte Antworten von erfolgreichen zu unterscheiden. Berücksichtigen Sie bei der Auswahl des Tools, wie die Daten eingespielt werden, in welchen Feldern Sie suchen können und welche Auswertungen Sie benötigen.

Die Art der Verarbeitung hängt auch vom Dateiformat ab. In der Tabellenkalkulation kann eine fehlerhafte Interpretation von Feldtrennzeichen oder Anführungszeichen zu einer Verschiebung der Daten führen. Überprüfen Sie anhand einiger Original-Logzeilen, ob das Datum, die angeforderte Adresse und der Statuscode in separate Felder eingegeben wurden. In Suchsystemen ermöglichen einheitliche Feldnamen den Vergleich von Apache- und Nginx-Einträgen.

Beginnen Sie die Analyse mit einer eng gefassten Frage: Welche Anfragen gingen für eine bestimmte Seite ein, und wie hat der Webserver darauf reagiert? Erweitern Sie anschließend die Suche auf andere URLs oder Zeiträume. Auf diese Weise können Sie den im Browser festgestellten Fehler mit dem zugehörigen Log-Eintrag abgleichen und die Beobachtung leichter mit einer konkreten Serverantwort in Verbindung bringen.

Passen Sie die Verarbeitungsmethode an die Größe der Protokolldatei an. Kleinere Protokolldateien können Sie auch mit herkömmlichen Tabellenkalkulationsprogrammen wie Excel auslesen und segmentieren. Überprüfen Sie zunächst, ob die Felder korrekt getrennt sind, und sortieren und filtern Sie die Daten anschließend nach den für die untersuchte Fragestellung relevanten Kriterien. Die Übersicht bleibt überschaubarer, wenn Sie die Suche nicht sofort auf alle Einträge ausweiten, sondern sich auf ausgewählte URLs, Statuscodes oder Zeiträume konzentrieren. Vergleichen Sie die Ergebnisse auch mit den ursprünglichen Log-Zeilen, damit Sie leichter erkennen können, ob Sie die Felder falsch interpretiert haben. Bei großen Mengen an Serverzugriffsdaten ist anstelle einer manuellen Analyse ein spezielles Tool erforderlich. Dessen Such- und Filterfunktionen können Ihnen helfen, die Daten zu überblicken, und die einheitlichen Feldnamen erleichtern den Vergleich von Apache- und Nginx-Einträgen. Bevor Sie mit einer umfassenderen Analyse beginnen, formulieren Sie, welche Frage Sie beantworten möchten, und überprüfen Sie, ob die ausgewählten Felder ausreichende Informationen liefern. Ist dies nicht der Fall, passen Sie die Suche oder die Aggregation an und untersuchen Sie die relevanten Einträge erneut. Auf diese Weise können Sie die Methode an die Größe des Protokolls und den Zweck der Analyse anpassen.

Erläuterung der Felder des Common Log Format

Die Analyse von Webserver-Protokollen umfasst die Untersuchung der Log-Einträge zu Anfragen, aus denen hervorgeht, welche Daten der Server bereitgestellt hat. Die Log-Dateien können Datum, Uhrzeit, Zeitzonenverschiebung, IP- oder DNS-Adresse, Anfrage, Antwortcode und Datenvolumen erfassen. Die Besucherzahlen können Sie durch die Zusammenfassung der Anfragen schätzen; die Antwortzeit lässt sich nur dann messen, wenn das Protokoll dieses Feld ebenfalls enthält. Die Fehlerquote lässt sich durch den Vergleich der fehlerhaften mit der Gesamtzahl der Anfragen berechnen.

Die Felder des Common Log Format

Das Common Log Format ist ein von Webservern verwendeter Protokollierungsstandard, der Anfragen in einer einheitlichen Feldreihenfolge darstellt. Dank dessen können Sie nachverfolgen, wer wann welche Inhalte angefordert hat, und die Anfrage anschließend mit der Antwort des Servers abgleichen.

In einem Eintrag kann die Adresse eine IP- oder DNS-Adresse sein, und das Datum und die Uhrzeit können mit Zeitzonenverschiebung angegeben werden. Das Feld „Anfrage“ kann den Pfad und das verwendete Protokoll enthalten. Neben dem Statuscode kann auch die Größe des bereitgestellten Objekts in Byte angegeben werden. Durch die gemeinsame Betrachtung dieser Felder können Sie beispielsweise den Aufruf einer Seite vom Herunterladen einer größeren Datei unterscheiden.

Lesen Sie das Format von links nach rechts: Identifizieren Sie zunächst das Datum und die angeforderte Adresse, anschließend den Statuscode. Überprüfen Sie danach die Datenmenge. Sollten Sie in einer Zeile einen unerwartet hohen Wert feststellen, prüfen Sie, zu welcher Seite oder Datei dieser gehört. Der genaue Umfang der angezeigten Felder kann auch von den Protokollierungseinstellungen abhängen.

Der Dateninhalt von Webserver-Protokollen

Das Webserver-Protokoll besteht aus einzelnen, mit einem Zeitstempel versehenen Anfragen und zeigt somit den serverseitigen Zugriff auf Seiten und Dateien an. Dies erleichtert die Fehlersuche, da die Einträge auch ohne JavaScript-Code und Cookies analysiert werden können.

Das Protokoll kann die IP- oder DNS-Adresse des Besuchers, den Zeitpunkt der Anfrage, die angeforderte Ressource, das Übertragungsprotokoll, die übertragene Datenmenge sowie den Browsertyp enthalten. Die Protokollierung des Webservers kann auch Dateien erfassen, die auf dem Server gespeichert und anschließend heruntergeladen wurden. So lässt sich beispielsweise überprüfen, ob der Server ein Bild oder ein Dokument bereitgestellt hat.

Ein Logeintrag entspricht nicht zwangsläufig einer Person oder einem Besuch. Dieselbe IP-Adresse kann von mehreren Besuchern genutzt werden, und dynamische IP-Adressen können sich im Laufe der Zeit ändern. Zudem werden Zugriffe über den Browser-Cache oder einen Proxy-Server nicht unbedingt in dem Log erfasst, das direkte Serverzugriffe aufzeichnet. Daher gibt die Anzahl der Protokolleinträge allein keinen Aufschluss über die Anzahl der einzelnen Besucher.

Besucherzahlen, Antwortzeiten und Fehlerquote

Aus dem Log können die Anzahl und die Verteilung der Anfragen ermittelt werden, was einen serverseitigen Überblick über die Besucherzahlen liefert. Die Gesamtzahl der Anfragen entspricht jedoch nicht der Anzahl der einzelnen Besucher, da das Laden einer Seite mehrere Dateianfragen auslösen kann.

Für die Analyse der Antwortzeiten ist ein Log-Feld erforderlich, das die Dauer der Serverauslieferung erfasst. Da das Common Log Format keine solchen Daten in seinen Standardfeldern enthält, überprüfen Sie bitte, ob diese in den erweiterten Logs des Webservers erfasst werden. Wenn die Dauer im Log vermerkt ist, lässt sich anhand einer Gruppierung nach URLs ermitteln, welche Seiten länger zu bedienen sind.

Um die Fehlerquote zu ermitteln, vergleichen Sie die Anzahl der fehlerhaften Antworten mit der Gesamtzahl der Anfragen im selben Zeitraum. 4xx-Codes weisen auf einen Client-Fehler hin, 5xx-Codes auf einen Serverfehler. Wenn Sie beispielsweise die 404-Antworten und die Gesamtzahl der Anfragen separat zusammenfassen, sehen Sie, in welchem Verhältnis nicht auffindbare Seiten aufgetreten sind. Schlüsseln Sie das Ergebnis weiter nach URL und Zeitpunkt auf, um festzustellen, ob der Fehler mit einer einzelnen Adresse oder mit mehreren Seiten zusammenhängt.

Die Unterschiede zwischen Serverprotokollen und Webanalysedaten

Das Serverprotokoll erfasst die einzelnen Anfragen, die beim Webserver eingehen, während die Webanalyse das Besucherverhalten zusammenfasst. Die Protokolle liefern direkte Daten zu den vom Server bereitgestellten Inhalten, weshalb darin auch Anfragen von Bots und Dateidownloads erscheinen können. Die Webanalyse hingegen verwendet häufig JavaScript-Code oder Cookies.

Bewahren Sie die Serverprotokolle so lange auf, wie dies für die Fehlersuche und den Betrieb erforderlich ist. Der Speicherbedarf steigt mit dem Datenverkehr und der Anzahl der protokollierten Anfragen. Bei stark frequentierten Websites kann die Anzahl der Dateien schnell ansteigen, weshalb möglicherweise zusätzliche Speicherressourcen erforderlich werden.

Die beiden Datenquellen geben Aufschluss über unterschiedliche Aspekte. Das Log zeigt, welche Anfragen der Webserver empfangen und wie er darauf reagiert hat. Die Webanalyse kann zudem Verhaltenskennzahlen wie die Absprungrate anzeigen, die das Serverprotokoll allein nicht liefert. Die Protokolle ergänzen daher die Analyse, stellen jedoch nicht die einzige Quelle für die Untersuchung des Besucherverhaltens dar.

Die Protokolldatei besteht aus einzelnen, mit einem Zeitstempel versehenen Anfragen. Das Aufrufen einer einzigen Seite kann mehrere Einträge zur Folge haben, da der Browser beispielsweise separate Anfragen für Bilder, Stylesheets und andere Dateien sendet. Daher entspricht die Anzahl der Einträge oder Anfragen nicht zwangsläufig der Anzahl der Seitenaufrufe oder der einzelnen Besucher. Auch Anfragen von Bots können im Protokoll des Webservers erscheinen.

Das Protokoll kann auch serverseitige Ereignisse anzeigen, die bei der JavaScript-basierten Messung nicht erfasst werden. Die Analyse der bereitgestellten Dateien und der direkten Anfragen kann beispielsweise dabei helfen, festzustellen, ob der Server ein PDF-Dokument oder ein Bild bereitgestellt hat. Im Gegensatz dazu werden Zugriffe, die über den Browser-Cache oder einen Proxy-Server erfolgen, nicht unbedingt in dem Protokoll angezeigt, das direkte Serverzugriffe aufzeichnet.

Auch dynamische Vorgänge innerhalb der Seite werden nicht immer als separate Log-Einträge angezeigt. Eine AJAX-Aktion wird nur dann im Serverprotokoll erfasst, wenn sie eine tatsächliche Serveranfrage auslöst; eine ausschließlich im Browser durchgeführte Änderung bedeutet keinen neuen Serverzugriff. Um die Aktionen der Besucher besser zu verstehen, empfiehlt es sich daher, das Protokoll und die Webanalysedaten gemeinsam auszuwerten.

Auch anhand der IP-Adressen lässt sich die Besucherzahl nicht in jedem Fall genau bestimmen. Dynamische IP-Adressen können sich ändern, während dieselbe IP-Adresse von mehreren Nutzern verwendet werden kann. Die aus den Log-Daten erstellten Besucherzahlen sollten daher mit Vorsicht interpretiert werden. Für eine zuverlässige Auswertung der Daten sollten Sie Anfragen, Besuche und Schätzungen zu einzelnen Nutzern getrennt betrachten.

Legen Sie bei einer praktischen Untersuchung zunächst fest, ob Sie technische Fehler, die Dateiauslieferung oder das Besucherverhalten analysieren möchten. Wählen Sie anschließend die entsprechende Datenquelle aus: Verwenden Sie für die Untersuchung von Fehlercodes und Serveranfragen das Log, für Verhaltenskennzahlen hingegen die Webanalyse. Durch den Abgleich des Zeitraums und der betroffenen Seiten können Sie die beiden Ansichten miteinander vergleichen, ohne die Anzahl der Anfragen mit der Besucherzahl gleichzusetzen.

Bei der Analyse von Webserver-Logs ist zu beachten, dass die Anzahl der Anfragen nicht mit der Anzahl der einzelnen Besucher gleichzusetzen ist. AJAX-Vorgänge innerhalb der Seite werden nicht unbedingt im Logfile angezeigt, wenn sie nicht mit einer tatsächlichen Serveranfrage einhergehen; bei dynamischen IP-Adressen oder mehreren Besuchern, die dieselbe IP-Adresse nutzen, können die Verkehrsdaten in den Logfiles laut den Experten von aWh ungenau sein.

AWh: Webhosting

aWh bietet Webhosting für den Betrieb von Websites an. Sollten Sie aufgrund der Log-Analyse die Serverumgebung oder die Verfügbarkeit der Ressourcen überprüfen müssen, kann die Auswahl des geeigneten Hosting-Pakets der nächste Schritt sein.

Die geeignete Lösung hängt von Ihren Anforderungen ab. Für den Betrieb einer Website kann Webhosting relevant sein, während ein KVM-VPS eine andere Serverumgebung bietet. Im Angebot von aWh sind auch Domain-Registrierungen und Windows-VPS verfügbar. Berücksichtigen Sie bei Ihrer Entscheidung, in welcher Umgebung Ihre Website läuft und welche Aufgaben Sie damit erfüllen möchten.

Sehen Sie sich die Webhosting-Lösungen von aWh an oder besuchen Sie die Website www.awh.hu.

Machen Sie die Log-Analyse zu einer nachvollziehbaren Vorgehensweise

Die Analyse der Webserver-Protokolle unterstützt die Entscheidungsfindung dann, wenn sich aus den Beobachtungen konkrete Maßnahmen ergeben. Notieren Sie sich, welche Fehler wiederholt auftreten, welche Anfragen ungewöhnlich sind und wie sich das Protokollmuster nach einzelnen Änderungen verändert. Auf diese Weise können Sie den Serverbetrieb vergleichen und gezielter nach den Ursachen von Problemen suchen.

Richten Sie einen Prozess ein, bei dem nur berechtigte Personen Zugriff auf die Protokolle haben und die Analyse auf die betrieblichen Ziele abgestimmt ist. Sollten Sie auf der Grundlage der Ergebnisse die technische Umgebung Ihrer Website überprüfen, überlegen Sie sich, welche Ressourcen und Einstellungen für einen stabilen Betrieb erforderlich sind.

Wenn Sie sich einen Überblick über den nächsten technischen Schritt verschaffen möchten, wenden Sie sich bitte an aWh. Eine konsequente Fehlersuche auf der Grundlage der Log-Einträge kann Ihnen dabei helfen, fundiertere Planungen zu erstellen.

Häufig gestellte Fragen zu Serverprotokollen

Wie funktionieren Serverprotokolle?

Der Webserver protokolliert die Ereignisse der eingehenden Anfragen, und der Betreiber kann diese zur Fehlersuche oder zur Analyse von Betriebsmustern nutzen. Wenn Sie nach einem Fehler eine Änderung vorgenommen haben, notieren Sie sich den Zeitpunkt dieser Änderung und vergleichen Sie anschließend die Einträge, die davor und danach entstanden sind. Die einheitliche Zeitzone und die Protokollierung der Änderungen erleichtern die Zuordnung der Ereignisse zueinander.

Wo befinden sich die Protokolle?

Die Protokolle finden Sie im Verwaltungsbereich Ihres Webhostings, im Dateisystem des Servers oder im Protokollbereich Ihrer Betriebsumgebung. Suchen Sie nach Zugriffs- und Fehlerprotokollen und überprüfen Sie, ob neben der aktuellen Datei auch archivierte oder komprimierte Dateien vorhanden sind. Ältere Protokolle werden häufig in einer separaten Datei gespeichert. Wenn Sie ein Control Panel verwenden, können Sie die verfügbaren Einträge über dessen Protokoll-Viewer einsehen.

Was ist eine Logdatei?

Eine Logdatei ist eine Datei, in der Ereignisse zur späteren Analyse protokolliert werden. In einer Webserver-Umgebung können sowohl Zugriffsprotokolle als auch Fehlerprotokolle erstellt werden: Erstere dienen dazu, die Spuren von Anfragen nachzuvollziehen, während Letztere einen Überblick über während des Betriebs gemeldete Probleme bieten. Entscheiden Sie bei der Fehlersuche zunächst, nach welchem Ereignis Sie suchen, und wählen Sie anschließend das entsprechende Protokoll aus. Eine Kopie der Originaldatei bewahrt den Ausgangszustand der Untersuchung.

Was wollen die Bots?

Der Zweck von Bots hängt von ihrer Funktionsweise ab: Einige sammeln Inhalte für Suchmaschinenindizes, andere führen automatische Überprüfungen durch oder rufen Daten ab. Aus dem Log allein lässt sich die Absicht des Erstellers nicht immer ableiten; daher sollten Sie vielmehr die Auswirkungen auf die Website untersuchen. Achten Sie darauf, ob die Anfragen die Ressourcen überlasten oder ob sie Pfade betreffen, die nicht öffentlich sein sollten.

Welche Tools und Programme eignen sich zur Analyse von Webserver-Protokollen?

Passen Sie das Tool an das Format und die Verarbeitungsweise des Logs an. Überprüfen Sie zunächst in einer Tabellenkalkulation, ob die Felder ordnungsgemäß voneinander getrennt sind, und wenden Sie anschließend Filter und Sortierfunktionen an. Bei Splunk, Sumo Logic oder Elastic Stack erleichtert die Vereinheitlichung der Felder die Suche. Bei der Teamarbeit sind zudem die Berechtigungsverwaltung, die gemeinsame Nutzung von Abfragen und die Auffindbarkeit archivierter Daten wichtige Aspekte.

Wie lassen sich 4xx- und 5xx-HTTP-Fehler erkennen, und was sind ihre häufigsten Ursachen?

Suchen Sie im Protokoll nach den Anfragen, die zu fehlerhaften Antworten geführt haben, und gruppieren Sie diese nach Pfad, Zeitpunkt oder betroffener Funktion. Eine wiederholt auftretende 404-Fehlermeldung kann beispielsweise auf einen veralteten Link oder gelöschten Inhalt hinweisen; prüfen Sie, ob sich die Adresse geändert hat. Wenn mehrere Seiten gleichzeitig Fehler melden, vergleichen Sie das Auftreten mit Konfigurations- oder Inhaltsaktualisierungen, um die möglichen Ursachen einzugrenzen.

Wie lassen sich Bots, Angriffe und verdächtiger Datenverkehr anhand der Protokolle erkennen?

Verdächtige Muster werden durch den Abgleich mehrerer Log-Quellen untersucht, beispielsweise durch den Vergleich von Webanfragen mit Authentifizierungsereignissen. Besondere Aufmerksamkeit verdient es, wenn innerhalb kurzer Zeit zahlreiche Versuche auf geschützte Funktionen erfolgen oder nach einer ungewöhnlichen Anfrage eine Reihe von Fehlern auftritt. Bewahren Sie die Originalprotokolle des untersuchten Zeitraums auf, beschränken Sie den Zugriff und dokumentieren Sie Ihre Beobachtungen mit Zeitstempel.

Welche kostenlosen und kostenpflichtigen Log-Analyse-Dienste stehen zur Verfügung und wie viel kosten sie?

Zu den Tools gehören auch Tabellenkalkulationsprogramme und spezielle Log-Verarbeitungssysteme wie beispielsweise Splunk, Sumo Logic und Elastic Stack. Treffen Sie Ihre Wahl nicht allein aufgrund des Namens des Tools: Berücksichtigen Sie, wie die Logs erfasst werden, welche Formate verarbeitet werden müssen und wer Zugriff darauf hat. Es empfiehlt sich zudem, die Anforderungen hinsichtlich Suche, Archivierung und Alarmierung im Voraus festzulegen, damit sich das Tool nahtlos in den täglichen Betrieb einfügt.

• Monitoring
• HTTP-Fehler
• Datenschutz
• Serververwaltung
• Anleitungen