# Können Audit-Zeitstempel von Agenten Änderungen der Uhrzeit überstehen? Die Zeit der Wanduhr ist ein Beleg, aber keine zuverlässige Sortiergarantie. Ein Agent kann zwei völlig legitime Aufrufe ausführen, während die Host-Uhr zurückläuft, während der Sommerzeit eine Stunde wiederholt oder nach einem langen Ruhezustand korrigiert wird. Wenn deine Audit-Ansicht diese Aufrufe nur nach der angezeigten Zeit sortiert, kann sie eine überzeugende, aber falsche Geschichte erzählen. Verwende eine Sequenznummer für die Frage «Welchen Datensatz hat dieses Journal zuerst angenommen?» Verwende einen Zeitstempel der Wanduhr für die Frage «Welche Kalenderzeit hat der Aufzeichner gemeldet?» Das sind verschiedene Fragen. Probleme entstehen, wenn Teams so tun, als würde ein einziges Feld beide beantworten. Für autonome Agenten ist dieser Unterschied entscheidend. Ein Prüfer muss vielleicht feststellen, ob ein SSH-Befehl auf eine Genehmigung folgte, ob ein HTTP-Aufruf wiederholt wurde oder ob ein Widerruf vor der nächsten Aktion stattfand. Die Antwort muss auch bei einer falschen Laptop-Uhr und einer ungünstigen Zeitumstellung Bestand haben und nicht nur in einer Tabelle ordentlich aussehen. ## Zeitstempel können keine verlässliche Ereignisreihenfolge festlegen Ein Zeitstempel der Wanduhr kann nicht beweisen, dass ein Ereignis vor einem anderen stattfand, wenn sich die Uhr ändern kann. Er meldet lediglich den Uhrstand, den die Software beim Schreiben des Eintrags beobachtet hat. Betrachte diese Folge von einem Rechner, der zehn Minuten vorging, bis die Zeitsynchronisierung ihn korrigierte: ```text seq 841 2026-11-03T14:10:12.481Z agent requested deploy status seq 842 2026-11-03T14:00:13.107Z agent requested deploy status seq 843 2026-11-03T14:00:14.052Z approval recorded ``` Eine Sortierung nach Zeitstempel platziert 842 und 843 vor 841. Das Journal hat 841 zuerst angenommen. Keine der beiden Ansichten ist ein Tippfehler. Sie beantworten unterschiedliche Fragen. Das ist auch dann wichtig, wenn Zeitstempel steigen. Eine Uhr kann langsamer laufen, vorspringen oder von einem Benutzer korrigiert werden. Zwei Datensätze mit steigender Kalenderzeit können daher weiter auseinanderliegen oder näher beieinanderliegen, als ihre Werte vermuten lassen. Ein Zeitstempel liefert eine beobachtete Position auf einer bürgerlichen Zeitskala. Er misst keine ununterbrochene Dauer. RFC 3339 macht die Anforderungen an die Speicherung klar: Bei lokaler Zeit brauchen Zeitstempel einen Offset, und UTC mit `Z` beseitigt beim Austausch die Mehrdeutigkeit des Offsets. Das ist gute Praxis, verwandelt die Host-Uhr aber nicht in einen unfehlbaren Zeugen. RFC 3339 definiert die Schreibweise, nicht die Wahrheit. Gib jedem nur anhängbaren Audit-Stream eine monoton steigende `seq`. Vergib sie in der Komponente, die Schreibvorgänge serialisiert, nicht in jedem Agentenprozess. Wenn zwei Agentenprozesse lokal Nummern vergeben und ihre Einträge später hochladen können, hast du zwei Reihenfolgen geschaffen und sie als eine bezeichnet. Die Sequenznummer macht eine begrenzte, aber nützliche Aussage: - Innerhalb eines Journals ist die niedrigere `seq` zuerst in das Journal gelangt. - Lücken bedeuten, dass ein Ermittler fehlende, zurückgehaltene oder absichtlich ausgeschlossene Einträge erklären muss. - Ein Duplikat bedeutet, dass der Schreiber, Importer oder die Speicherschicht versagt hat. - Der Wert sagt allein nichts über ein Ereignis auf einem anderen Rechner aus. Dieser letzte Punkt wird oft übersehen, weil eine global wirkende Ganzzahl autoritativ erscheint. Das ist sie nicht. Eine Sequenznummer braucht einen Namensraum. `journal_id=macbook-17, seq=841` ist eine Aussage mit klaren Grenzen. `seq=841` in einer Tabelle lädt dazu ein, zu weit zu gehen. ## Die Zeitumstellung wiederholt lokale Uhrzeiten Die Sommerzeit führt in vielen Regionen dazu, dass eine lokale Stunde wiederholt wird. Beim Übergang im Herbst tritt 01:15 einmal mit einem UTC-Offset und später erneut mit einem anderen auf. Ein Log, das nur `2026-11-01 01:15:00` speichert, hat die Information verloren, die zur Unterscheidung nötig wäre. Versuche nicht, später zu erraten, welchen Durchlauf ein Operator gemeint hat. Erfasse beim Schreiben des Ereignisses ausreichend Kontext: ```json { "journal_id": "build-mac-07", "seq": 842, "event_id": "01JXYZ...", "recorded_at_utc": "2026-11-01T08:15:00.000Z", "local_offset": "-07:00", "time_zone": "America/Los_Angeles", "event_type": "agent.http.requested" } ``` Beim späteren Auftreten kann dieselbe lokale Uhrzeitanzeige `local_offset: "-08:00"` und einen um eine Stunde späteren UTC-Wert tragen. Der numerische Offset bewahrt die beobachtete Tatsache. Der Name der Zeitzone hilft Menschen zu erklären, warum dieser Offset galt, sollte ihn im Eintrag aber nicht ersetzen. Zeitzonenregeln ändern sich. Regierungen haben Start- und Enddaten sowie die Existenz der Sommerzeit geändert, ohne Rücksicht auf deinen Log-Parser. Wenn du ein lokales Datum und einen Zonennamen speicherst und Jahre später mit einer neueren Zeitzonendatenbank einen Offset neu berechnest, kannst du historische Belege anders darstellen als der Rechner damals. Bewahre den ursprünglichen UTC-Wert und den erfassten Offset auf. Verwende aktuelle Regeln für die Darstellung nur dann, wenn die Ansicht das Ergebnis eindeutig als heutige Umrechnung kennzeichnet. Der Übergang im Frühjahr verursacht ein anderes Problem. Manche lokalen Zeiten existieren nie. Ein System, das eine von Menschen eingegebene lokale Frist für 02:30 in einer übersprungenen Stunde akzeptiert, muss sie ablehnen oder eine ausdrückliche Auflösung verlangen. Sie stillschweigend auf 03:30 zu verschieben, ist eine Produktentscheidung, die sich als Kalenderarithmetik tarnt. Für Audit-Einträge sollte UTC der kanonische Wert sein. Zeige lokale Zeit, wenn sie dem Leser hilft, aber gib den Offset im selben Feld an. `2026-11-01 01:15:00 -08:00` ist umständlicher als `01:15` und zugleich ein besserer Beleg. ## Eine manuelle Korrektur muss einen neuen Eintrag erzeugen Manuelle Änderungen entscheiden darüber, ob ein Audit-Trail seinen Wert behält oder zu einem glattpolierten Aktivitätsfeed wird. Wenn ein Administrator einen Zeitstempel direkt ändert, verschwindet die ursprüngliche Beobachtung. Ein Ermittler kann dann nicht mehr erkennen, ob die alte Uhr falsch ging, die Ereignisdaten falsch waren oder jemand die Geschichte anders aussehen lassen wollte. Bewahre den ursprünglichen Eintrag unveränderlich auf. Füge einen Korrektureintrag hinzu, der das frühere Ereignis benennt, das strittige Feld angibt, den vorgeschlagenen korrigierten Wert festhält und seine Grundlage erklärt. Die Korrektur löscht den ersten Eintrag nicht. Sie ergänzt eine spätere Tatsache: Jemand hat eine Aussage über den ersten Eintrag gemacht und begründet. Eine Korrektur kann klein sein und trotzdem ausreichen: ```json { "seq": 913, "event_type": "audit.timestamp_corrected", "corrects_event_id": "01JXYZ...", "original_recorded_at_utc": "2026-11-03T14:10:12.481Z", "asserted_occurred_at_utc": "2026-11-03T14:00:12.481Z", "basis": "host time service report and neighboring journal entries", "actor": "admin-identifier" } ``` Verwende `asserted_occurred_at_utc` nur, wenn es Belege für die geänderte Zeit gibt. Benenne den ursprünglichen Wert `recorded_at_utc` nicht um. Er beschreibt den Uhrstand des Aufzeichners und bleibt historisch korrekt, auch wenn dieser Uhrstand ungenau war. Trenne diese drei Begriffe sowohl im Schema als auch in der Sprache: 1. `occurred_at` ist die Zeit, zu der eine Aktion stattfand, sofern der Akteur sie feststellen kann. 2. `observed_at` ist die Zeit, zu der ein bestimmter Sammler die Aktion gesehen hat. 3. `recorded_at` ist die Zeit, zu der der Audit-Schreiber seinen Eintrag festgeschrieben hat. Sie können gleich sein. Oft sind sie es. Sie sollten nicht denselben Feldnamen tragen. Die verbreitete Empfehlung «Korrigiere fehlerhafte Daten einfach» stammt aus Berichtssystemen, in denen eine falsche Zahl aus dem Dashboard verschwinden soll. Auditsysteme haben eine andere Aufgabe. Sie bewahren den Weg von der Beobachtung zur Schlussfolgerung. Eine sichtbare Korrektur ist für gelegentliche Leser weniger bequem, verhindert aber, dass Unsicherheit in Gewissheit umgewandelt wird. ## Netzwerkzeitkorrekturen können die Wanduhr verschieben Die Netzwerksynchronisierung verbessert die Genauigkeit einer Uhr, doch die Korrektur selbst kann Zeitstempel überraschend machen. Ein Client kann seine Rate allmählich anpassen oder die Uhr sprunghaft stellen, wenn der Offset groß genug ist oder die Richtlinie es erlaubt. Ein Benutzer, der die Uhr von Hand setzt, eine virtuelle Maschine, die aus dem Ruhezustand zurückkehrt, und eine Firmware-Uhr mit einem falschen Wert können dasselbe sichtbare Ergebnis erzeugen: Die Kalenderzeit ändert sich zwischen zwei Audit-Einträgen. Die Dokumentation von POSIX `clock_gettime` unterscheidet zwischen einer Echtzeituhr und einer monotonen Uhr. `CLOCK_REALTIME` verfolgt die Kalenderzeit und kann gestellt werden. `CLOCK_MONOTONIC` hat keinen nützlichen Kalenderursprung und wird nicht von `clock_settime` gestellt. Es ist die richtige Quelle, um innerhalb eines laufenden Systems ein Intervall zu messen. Daraus ergibt sich eine praktische Datenregel. Zeichne die Wanduhrzeit für den Ermittler auf. Erfasse eine monotone Messung, wenn du vergangene Zeit, Timeout-Verhalten oder die Reihenfolge rund um eine Korrektur beurteilen musst. Speichere einen monotonen Wert nicht so, als wäre er ein Datum. Sein absoluter Wert hat nur relativ zu seinem Start und seiner Uhren-Domäne Bedeutung. RFC 8633, die IETF-Leitlinie für den NTP-Betrieb, behandelt ausdrücklich große Zeitverschiebungen und sagt, dass Betreiber die NTP-Panikschwelle beim Kaltstart nicht blind umgehen sollten. Die übliche Versuchung besteht darin, jede Korrektur als harmlose Wartungsarbeit zu betrachten. Das ist nicht harmlos, wenn die Zeit die Gültigkeit von Tokens, Aufbewahrung, die Rekonstruktion von Vorfällen oder die Erkennung von Wiederholungen steuert. Dein Auditsystem sollte Zeitabweichungen als Audit-Fakten melden. Es sollte sie nicht mit einer Sortierregel verstecken. Ein nützliches Ereignis kann den letzten Wanduhrwert, den neuen Wert, die geschätzte Differenz, die Quelle der Änderung, sofern bekannt, und den Prozess enthalten, der sie erkannt hat. Wenn das Betriebssystem keine Ursache liefert, sag das. Eine falsche Erklärung ist schlechter als keine. Plane eine kleine Toleranz für gewöhnliches Zittern ein. Erzeuge kein dramatisches Ereignis, nur weil sich benachbarte Werte bei parallelen Schreibern unerwartet um wenige Millisekunden unterscheiden. Die serialisierte `seq` liefert die Reihenfolge. Markiere eine Unterbrechung, wenn sich die Wanduhr über die behauptete Genauigkeit hinaus zurückbewegt oder wenn eine Vorwärtslücke nicht zur erwarteten Aktivität passt und geprüft werden muss. ## Sequenznummern brauchen einen definierten Geltungsbereich Eine Sequenznummer funktioniert nur innerhalb des Logs, das sie vergeben hat. Sie nach dem Export der Einträge als globale Reihenfolge zu behandeln, führt in verteilten Agentensystemen zu falschen Schlussfolgerungen. Angenommen, ein Coding-Agent auf einem Mac fordert eine API-Aktion an und ein entfernter Build-Host schreibt eine SSH-Aktion. Jeder Host hat sein eigenes Journal: ```text build-mac-07 seq 842 14:00:13Z HTTP action requested build-host-2 seq 91 14:00:14Z SSH action accepted build-mac-07 seq 843 14:00:15Z HTTP result received ``` Du kannst sagen, dass 842 in `build-mac-07` vor 843 liegt. Du kannst sagen, dass 91 von `build-host-2` zu seiner gemeldeten Zeit aufgezeichnet wurde. Aus diesen Feldern allein kannst du nicht beweisen, ob der Remote-Host die SSH-Aktion in Echtzeit vor oder nach der ersten HTTP-Anfrage angenommen hat. Um Beziehungen zwischen Systemen festzustellen, füge eine ausdrückliche Verbindung hinzu. Eine vom Aufrufer an den Empfänger weitergegebene Anfragekennung kann das Anfrageereignis mit dem empfangenden Ereignis verbinden. Eine signierte Empfangsbestätigung liefert stärkere Belege. Ein zentraler Sammler kann beim Empfang eine Sammlersequenz vergeben, doch diese Sequenz beweist nur die Ankunftsreihenfolge beim Sammler und nicht die Reihenfolge des Auftretens an den Quellen. Übertreibe keine dieser Aussagen: - Eine Anfrage-ID belegt eine Korrelation, wenn beide Seiten sie bewahren. Sie belegt nicht den Zustellzeitpunkt. - Eine zentrale Eingangssequenz belegt die Eingangsreihenfolge. Netzwerkverzögerungen können die Ankunft umsortieren. - Eine synchronisierte Uhr verringert die Unsicherheit. Sie beseitigt sie nicht. - Eine verteilte logische Uhr kann Kausalität ausdrücken, wenn jeder Teilnehmer sie korrekt weiterführt. Sie liefert keine Wanduhrzeit. Für viele Audit-Trails von Agenten brauchst du kein großes verteiltes Ordnungssystem. Du brauchst ehrliche Grenzen. Führe für jedes vertrauenswürdige Journal eine lokale Sequenz, füge an Aktionsgrenzen Korrelations-IDs hinzu und zeige in jedem Export das Quelljournal. So kann ein Prüfer erkennen, wo die Belege stark sind und wo eine Schlussfolgerung beginnt. ## Speichere genügend Zeitbelege, um einen Widerspruch zu erklären Ein einfaches Feld `timestamp` ist kein Auditschema. Es ist eine Anzeigevorliebe, die in die Speicherung gelangt ist. Verwende eine Struktur, die Reihenfolge, Kalenderzeit, Quellenidentität und Integritätsdaten getrennt hält. Die genauen Feldnamen bestimmst du selbst, aber die Konzepte sollten Export und Aufbewahrung überstehen: ```json { "journal_id": "build-mac-07", "seq": 842, "event_id": "01JXYZ...", "recorded_at_utc": "2026-11-03T14:00:13.107Z", "recorded_offset": "-08:00", "time_zone": "America/Los_Angeles", "monotonic_ns": 3982188001123, "boot_id": "boot-identifier", "event_type": "agent.http.requested", "correlation_id": "request-identifier", "actor_process": "process-identifier", "previous_hash": "hex-value", "record_hash": "hex-value" } ``` `boot_id` verhindert einen häufigen Fehler bei monotonen Werten. Ein monotoner Zähler kann nach einem Neustart von vorn beginnen. Daher kann `3982188001123` aus einem Start nicht ohne weiteren Kontext mit demselben Wert aus einem anderen Start verglichen werden. Speichere ihn nur, wenn du ihn verwenden wirst, und dokumentiere seine Einheit. Ein Feld namens `monotonic_time`, bei dem niemand weiß, ob Nanosekunden, Millisekunden oder System-Ticks gemeint sind, ist nutzlos. `recorded_offset` ist der Offset, der beim Aufzeichnen des Ereignisses galt. Er ersetzt UTC nicht. Er zeigt einem Menschen den lokalen Zeitkontext der Quelle und erlaubt einem Formatter, die ursprüngliche bürgerliche Interpretation zu bewahren. Füge eine benannte Zeitzone nur hinzu, wenn die Plattform sie zuverlässig liefern kann. Ein fester Offset reicht für Reihenfolge und Rekonstruktion aus. Für die Hash-Felder gelten ebenso klare Regeln. Berechne den Hash über eine kanonische Darstellung jedes Felds, dessen Änderung die Bedeutung des Eintrags verändern würde, einschließlich `seq`, Zeitstempeln, Ereignistyp, Identität des Akteurs und Digest der Nutzdaten. Hashe kein formatiertes JSON, wenn verschiedene Serializer Leerraum, Eigenschaftsreihenfolge oder Zahlenformat ändern können. Kanonisiere zuerst. Eine Hash-Kette erkennt einen geänderten Eintrag, wenn die Prüfung an einem vertrauenswürdigen Anker beginnt und jeder Eintrag sich auf den vorherigen bezieht. Sie beweist nicht, dass die Quelluhr korrekt war. Sie beweist nicht, dass ein Ereignis außerhalb des Rechners stattgefunden hat. Sie belegt eine engere, aber wichtige Aussage: Die geprüfte Historie bewahrt die kryptografischen Beziehungen, die der Schreiber erzeugt hat. Darum gehören Kette und Sequenz zusammen. Die Sequenz liefert die lokale Reihenfolge. Die Kette macht eine spätere Umschreibung sichtbar. Der Zeitstempel liefert Kalenderkontext. Keines dieser Elemente kann die Aufgabe der anderen übernehmen. ## Untersuche Zeitumkehrungen, ohne eine Geschichte zu erfinden Wenn eine spätere Sequenz einen früheren Zeitstempel hat, beginne mit den vorhandenen Belegen. Nenne es nicht sofort ein Replay, einen Agentenfehler oder eine Manipulation. Verwende diese kurze Untersuchungsfolge: 1. Prüfe die Kontinuität der Journal-Sequenz und das Integritätsergebnis, bevor du Zeitwerte interpretierst. 2. Vergleiche die früheren und späteren UTC-Werte, lokalen Offsets, Startkennungen und etwaige monotonen Messungen. 3. Prüfe, ob der Host eine Zeitumstellungsgrenze überschritten, neu gestartet, den Ruhezustand verlassen oder eine Zeitdienstkorrektur aufgezeichnet hat. 4. Verfolge Korrelations-IDs in benachbarte Journale, kennzeichne die hostübergreifende Zeit aber als Schätzung, sofern keine Empfangsbestätigung oder gemeinsame Ordnungsmechanik sie belegt. 5. Füge einen Anmerkungseintrag hinzu, wenn die Belege eine Korrektur oder die Feststellung einer Zeitabweichung stützen. Hier ist ein Fehler, der in echten Prüfungen vorkommt. Ein Agent fordert um `09:02:04` eine API-Aktion an, der Rechner wacht auf, die Netzwerkzeit stellt die Wanduhr vier Minuten zurück und das Ergebnis der Aktion wird um `08:58:07` aufgezeichnet. Ein Dashboard sortiert chronologisch und zeigt das Ergebnis vor der Anfrage. Ein Operator schließt auf ein Replay, blockiert den Agenten und beginnt, Zugangsdaten auszutauschen. Sequenz und monotone Werte erzählen die einfachere Geschichte. Die Anfrage hat Sequenz 117. Das Ergebnis hat Sequenz 118. Beide besitzen dieselbe Startkennung. Der monotone Zähler steigt um ungefähr drei Sekunden. Die Wanduhr hat sich zwischen den Einträgen geändert. Das Ergebnis folgte der Anfrage in diesem Journal, während die Kalenderanzeige durch die Korrektur ungenau ist. Diese Schlussfolgerung lässt weiterhin nützliche Fragen offen. Warum wich die Uhr um vier Minuten ab? Hing die Aktion von einer zeitlich begrenzten Zugangsdaten-Gültigkeit ab? Hat ein anderes System die Anfrage vor der Korrektur empfangen? Die Untersuchung sollte diese Fragen getrennt beantworten. Sie sollte keine saubere Zeitstempelreihenfolge erzwingen, nur weil eine Ansicht sie bevorzugt. Wenn eine Integritätsprüfung fehlschlägt, behandle das Journal nicht länger als gesicherte Zeitleiste. Bewahre den Export auf, verzeichne den Prüfungsfehler möglichst außerhalb des betroffenen Journals und beschaffe eine neue Kopie über einen unabhängigen Weg. Eine fehlerhafte Kette identifiziert nicht die Person oder den Prozess, der Daten geändert hat. Sie zeigt, dass die Belege keine Aussage über eine unveränderte Historie mehr stützen. ## Ein manipulationssicherer Trail braucht eine Offline-Prüfung Ein Audit-Log hat nur begrenzten forensischen Wert, wenn sein einziger Integritätsnachweis vom laufenden Dienst abhängt, der es erzeugt hat. Ein Prüfer muss die Einträge exportieren, auf einen anderen Rechner übertragen und die Kette prüfen können, ohne den Tresor zu verwenden oder den Agenten zu fragen, der die Aktionen ausgeführt hat. Sallyport projiziert seine Sessions- und Activity-Journale aus einem verschlüsselten, Hash-verknüpften Audit-Log. Mit `sp audit verify` lässt sich die Kette offline über Chiffretext und ohne Tresorschlüssel prüfen. Dieses Design löst ein anderes Problem als die Genauigkeit der Uhr. Die Offline-Prüfung zeigt, ob die verschlüsselte Historie nach dem Auditschema intern konsistent bleibt. Sie bestätigt nicht die Wanduhr des Hosts. Halte die beiden Aussagen in Berichten getrennt: «Die Audit-Kette wurde erfolgreich geprüft» und «Die Ereigniszeit wurde durch eine unabhängige Quelle bestätigt» sind beide nützlich, doch keine Aussage folgt aus der anderen. Exportverfahren sollten Journalidentität, Sequenzbereich, Prüfungsergebnis und die Softwareversion bewahren, mit der die Prüfung durchgeführt wurde. Eine CSV-Datei mit nur Zeitstempel und Aktionstext ist ein Bericht, kein Audit-Beleg. Sie verliert die Felder, mit denen jemand den Bericht später anfechten oder bestätigen kann. ## Baue die Ansicht um Widersprüche herum, nicht nur um die normale Sortierung Eine gute Audit-Ansicht versteckt keine Uhrenabweichungen. Sie sortiert innerhalb eines Journals standardmäßig nach der Journal-Sequenz, zeigt UTC neben der lokalen Zeit, wenn der Benutzer eine Zeile öffnet, und markiert einen rückwärts laufenden Zeitstempel als Zeitunterbrechung, statt die Historie neu anzuordnen. Gib den Lesern mehrere Ansichten, benenne sie aber genau. «Journal-Reihenfolge» bedeutet Sequenzreihenfolge. «Gemeldete Kalenderzeit» bedeutet Zeitstempelreihenfolge und kann kausal spätere Einträge zuerst anzeigen. «Ankunftsreihenfolge beim Sammler» bedeutet die Reihenfolge, in der ein anderer Dienst Daten empfangen hat. Vermeide eine allgemeine Sortierung «Zeit», weil sie eine wichtige forensische Entscheidung unsichtbar macht. Die Oberfläche sollte außerdem den Grad ihrer Sicherheit zeigen. Wenn Ereignisse aus verschiedenen Journalen stammen, gruppiere sie nach Quelle oder zeige neben jeder Sequenznummer eine klare Quellenangabe. Wenn eine Anfrage-ID Einträge verbindet, zeige diese Beziehung im Datenmodell und in der Oberfläche. Zeichne keine durchgehende Zeitleiste über mehrere Hosts, wenn dein System sie nicht begründen kann. Der erste Schritt ist einfach: Prüfe einen bestehenden Export auf eine lokale Zeit ohne Offset, eine Sequenznummer ohne Journalidentität oder einen Weg zur Änderung an Ort und Stelle. Jeder dieser Punkte reicht aus, um eine irreführende Zeitleiste für einen Vorfall zu erzeugen. Ihn jetzt zu beheben ist günstiger, als später zu erklären, warum eine Agentenaktion zum Beleg geworden ist.