Datenaufbewahrung

Der Scanner löscht Daten, die er länger als die Aufbewahrungsfrist gehalten hat. Täglich um 03:00 Uhr Serverzeit löscht ein Bereinigungslauf alle Datensätze, deren Zeitstempel älter als der Stichtag ist.

Die Frist beträgt standardmässig zehn Jahre und wird über retention.window gesetzt, eine ISO-8601-Zeitdauer - P10Y für zehn Jahre, P18M für achtzehn Monate, P90D für neunzig Tage. Audit-Ereignisse werden standardmässig nicht gelöscht.

Einstellung	Standard	Bedeutung
retention.window	P10Y	Wie lange der Aufbewahrung unterliegende Daten gehalten werden.
retention.purge-audit-events	false	Ob die Bereinigung auch Audit-Ereignisse löscht.

Als Umgebungsvariablen heissen diese RETENTION_WINDOW und RETENTION_PURGE_AUDIT_EVENTS.

Eine Frist von null oder eine negative Zeitdauer wird beim Start abgewiesen statt übernommen: Sie würde den Stichtag auf den aktuellen Zeitpunkt oder danach legen, und der nächste Lauf würde jeden verwalteten Datensatz löschen.

Was gelöscht wird

Daten	Wirkung der Bereinigung
Funde	Funde älter als der Stichtag werden endgültig gelöscht.
Fund-Vorkommen	Die Vorkommenshistorie abgelaufener Funde.
Fund-Prüfereignisse	Die an abgelaufenen Funden hängende Prüfhistorie.
Scan-Läufe	Abgelaufene Läufe verschwinden aus der Scan-Historie.
Scan-Arbeitspakete	Die Datensätze je Issue abgelaufener Läufe.
Regelversionen	Abgelöste Regelversionen älter als der Stichtag. Aktuelle Versionen werden nie gelöscht.

Es handelt sich um eine endgültige Löschung, nicht um ein Kennzeichen. Regeln, Scan-Konfigurationen, Unterdrückungen, die Jira-Verbindung, die Lizenz und die Reporting-Einstellungen unterliegen nicht der Aufbewahrungsfrist - sie bestehen, bis Sie sie entfernen.

Audit-Ereignisse bleiben erhalten

Das Audit-Log ist der Nachweis, den der Scanner erzeugt: wer welchen Fund geprüft hat, wann sich eine Regel geändert hat, was jeder Bereinigungslauf entfernt hat. Es ist bewusst von der Bereinigung ausgenommen und bleibt daher standardmässig so lange erhalten, wie Sie die Datenbank aufbewahren - über die Aufbewahrungsfrist und über die Jira-Instanz hinaus, aus der die Funde stammen.

Wenn Ihre eigene Policy verlangt, dass Audit-Einträge verfallen, setzen Sie retention.purge-audit-events auf true. Sie werden dann mit derselben Frist gelöscht wie alles andere. Eine separate Frist dafür gibt es nicht.

Auditierung

Jeder Bereinigungslauf schreibt ein Audit-Ereignis: Akteur SYSTEM, Aktion RETENTION_PURGE, Zieltyp RETENTION. Die Metadaten halten den Stichtag, die konfigurierte Frist, ob das Löschen von Audit-Ereignissen aktiviert war, und die Anzahl gelöschter Zeilen je Kategorie fest, sodass ein Lauf auch nach dem Löschen der Daten aus dem Audit-Log rekonstruierbar bleibt.

Bereinigung auf Anforderung

Administratoren können eine Bereinigung sofort auslösen, statt auf 03:00 Uhr zu warten - über den Admin-API-Endpunkt. Dafür gibt es bewusst keine Schaltfläche in der Oberfläche: es ist eine Wartungsoperation, keine tägliche Aufgabe.

curl -X POST https://riskscanner.example.com/api/retention/purge \
  -H "Authorization: Bearer <admin-access-token>"

Die Antwort enthält den Stichtag und die Anzahl gelöschter Zeilen; der Lauf wird genau wie der geplante auditiert.