Microsoft 365 / Purview-Auditprotokolle für Benutzer- und Administratoraktivitäten durchsuchen

Um Benutzer- oder Administratoraktionen in Microsoft 365 zu untersuchen, verwenden Sie die Überwachungsprotokollsuche in Microsoft Purview. Grenzen Sie Person, Aktivität und Zeitraum ein und prüfen Sie anschließend Zeitpunkt, Vorgang und betroffenes Objekt in den Ergebnissen. Überwachungsprotokolle helfen bei der Untersuchung tatsächlicher Aktivitäten; sie speichern nicht unbegrenzt jede Einzelaktion aller Dienste.

Was können Sie mit Prüfprotokollen überprüfen?

Sie können Benutzer- und Administratoraktivitäten in verschiedenen Microsoft 365-Diensten anzeigen, wie z. B. Datei­zugriffe und Freigaben, Postfach­operationen sowie Gruppen- oder Einstellungsänderungen. Die gesammelten Ereignistypen, durchsuchbaren Zeitpunkte und Aufbewahrungsfristen variieren je nach Dienst und Lizenz. Prüfen Sie die aktuellen Funktionen und Bedingungen Ihrer Organisation im Microsoft Purview-Audit-Einstiegshandbuch.

Wenn Sie erfolgreiche oder fehlgeschlagene Anmeldungen untersuchen möchten, bieten Microsoft Entra-Anmeldeprotokolle direktere Informationen als Purview-Audit-Suchen. Für Mail-Zustellpfade verwenden Sie die Exchange-Nachrichtenverfolgung. Die Auswahl des geeigneten Protokolls für Ihre Fragestellung ist wichtiger als die Erweiterung der Suchbegriffe.

Vorbereitung auf Auditsuchen

• Entscheiden Sie sich für eine Frage zur Überprüfung. Zum Beispiel: "Wer hat die Freigabeeinstellungen dieser Datei geändert und wann?"
• Ermitteln Sie die Identifizierungsinformationen des Zielbenutzers, der Datei/Website oder der Aktion.
• Überprüfen Sie die Auftretenszeit und Zeitzone. Die auf dem Bildschirm angezeigte Zeit kann von der Zeitzone des Protokolls abweichen.
• Überprüfen Sie die Berechtigungen für die Prüfsuche. Fehlende Berechtigungen bedeuten nicht, dass es keine Ergebnisse gibt; es kann bedeuten, dass Sie die Suche nicht durchführen können.

Leseberechtigungen, Aufbewahrung und Erfassungsverzögerung prüfen

Für die Suche und den Export von Überwachungsdatensätzen benötigen Sie in Microsoft Purview die Rolle Audit Logs oder View-Only Audit Logs. Die Rollengruppe Audit Reader umfasst Such- und Exportberechtigungen; Audit Manager bietet weitergehende Möglichkeiten. Zugewiesene Verwaltungseinheiten können den zugänglichen Datenbereich begrenzen. Das Entfernen eines Suchfilters erweitert Ihre Berechtigungen nicht. Eine Exchange- oder Teams-Administratorrolle gewährt nicht automatisch Zugriff auf alle Purview-Überwachungsdatensätze.

Audit (Standard) bewahrt standardmäßig Aufzeichnungen für 180 Tage auf. Für entsprechend lizenzierte Audit (Premium)-Nutzer haben Microsoft Entra ID-, Exchange- und SharePoint-Aktivitäten eine standardmäßige Aufbewahrungsdauer von einem Jahr; andere Aktivitäten und konfigurierte Aufbewahrungsrichtlinien können unterschiedliche Bedingungen haben. Überprüfen Sie die Lizenz des Nutzers, der die Aktivität durchgeführt hat, den Dienst und die geltende Aufbewahrungsrichtlinie. Ein lizenzierter Administrator allein berechtigt nicht alle Audit-Aufzeichnungen zur einjährigen Aufbewahrung.

Jüngste Aktivitäten sind möglicherweise nicht sofort durchsuchbar. Microsoft beschreibt eine typische Verfügbarkeit von 60–90 Minuten für Kernservices wie Exchange, SharePoint, OneDrive und Teams, garantiert dieses Intervall jedoch nicht. Die Sammlungslatenz ist getrennt von der Zeit, die ein Suchvorgang benötigt. Eine breitere Abfrage kann Ereignisse, die nie gesammelt wurden oder über die Aufbewahrungsfrist hinaus sind, nicht wiederherstellen. Überprüfen Sie zunächst den Status der Audit-Sammlung der Organisation und ob die erforderliche Aktivität unterstützt wird.

Suche in Purview

1. Öffnen Sie Überwachung → Suchen im Microsoft Purview-Portal und legen Sie Datums- und Uhrzeitbereich (UTC) unter Verwendung der koordinierten Weltzeit fest. Eine Suche kann höchstens 180 Tage umfassen; dieses Zeitfensterlimit ist unabhängig vom Aufbewahrungszeitraum Ihrer Datensätze. Teilen Sie einen längeren aufbewahrten Zeitraum in kleinere Suchfenster auf.
2. Filtern Sie nach Zielbenutzer und Aktivitätstyp. Beginnen Sie mit den wichtigsten Bedingungen, anstatt von Anfang an zu viele Bedingungen hinzuzufügen.

3. Führen Sie die Suche aus und öffnen Sie die Ergebnisse, um den Zeitpunkt der Aktion, den Benutzer, das Zielobjekt und die Details zu überprüfen. Falls erforderlich, dokumentieren Sie die Ereignis-ID oder den Datensatz im internen Untersuchungsdokument.
4. Wenn keine Ergebnisse vorliegen, überprüfen Sie den Bereich und die Zeitzone, die Suchberechtigungen, Verzögerungen bei der Protokollsammlung und ob die Aktivität der Prüfung unterliegt. Ziehen Sie nicht den Schluss, dass keine Aktivität stattgefunden hat, nur weil keine Protokolle vorliegen.

Wenn die Lösung Überwachung auf der Portal-Startseite fehlt, öffnen Sie Alle Lösungen anzeigen → Überwachung. Suchaufträge durchlaufen die Zustände In der Warteschlange, In Bearbeitung und Abgeschlossen. Sie laufen nach dem Schließen des Browsers weiter. Prüfen Sie vorhandene Aufträge, bevor Sie dieselbe Suche mehrfach starten.

Microsofts Leitfaden zur Suche im Prüfprotokoll erklärt Berechtigungen, Ergebnisse und Export. Exporte verwenden durch Kommas getrennte Werte (CSV), ein tabellarisches Datenformat, und können persönliche oder sicherheitsrelevante Informationen enthalten. Speichern Sie sie am genehmigten Untersuchungsort und hängen Sie die Roh-Exporte nicht an öffentliche Beiträge an.

Suchbeispiel zur Untersuchung von Änderungen der Dateifreigabe

Angenommen, Sie untersuchen, „wer heute Morgen die Freigabeeinstellungen dieser Datei geändert hat“. Da der Dateibesitzer und die Person, die die Änderung vorgenommen hat, unterschiedlich sein können, könnte die Suche nur nach dem Besitzer, wenn der Akteur unbekannt ist, dazu führen, dass wichtige Ergebnisse übersehen werden.

1. Ermitteln Sie die Websiteadresse, an der sich die Datei befindet, den Pfad zur Datei und die Zeit, zu der das Problem entdeckt wurde. Verwenden Sie den tatsächlichen Speicherort, um Dateien mit demselben Namen zu unterscheiden.
2. Konvertieren Sie die Vorfallzeit in UTC unter Verwendung des korrekten lokalen Offsets, einschließlich der Sommerzeit, falls relevant. Zum Beispiel Korea Standard Time (KST) ist UTC+09:00: 10:00–12:00 KST ist 01:00–03:00 UTC am selben Datum. Mitternacht kann das Datum ändern: 00:30 KST am 14. November ist 15:30 UTC am 13. November.
3. Wählen Sie Datei- oder Ordnerfreigabeaktivitäten unter Aktivitäten – Anzeigenamen. Wenn Sie Aktivitäten – Vorgangsnamen verwenden, kopieren Sie den genauen Namen aus Microsofts Audit-Aktivitätskatalog; übersetzen oder raten Sie die Vorgangsnamen nicht.
4. Geben Sie den für die Datei/Ordner/Site-Bedingungen benötigten Adress-/Namensbereich an, und lassen Sie die Benutzerbedingung für die Suche leer, wenn die handelnde Person unbekannt ist. Verwenden Sie Bezeichner im Suchnamen, um den Vorfall zu unterscheiden.
5. Sobald die Suchaufgabe abgeschlossen ist, vergleichen Sie Aktivitäten, Zeitstempel, Benutzer und betroffene Elemente miteinander und öffnen Sie die Details der zugehörigen Elemente. Wenn aufgrund zu enger Bedingungen keine Ergebnisse vorliegen, passen Sie den Dateibereich und die Aktivitätsbedingungen einzeln an.

Die Stichwortsuche durchsucht indizierte Inhalte im allgemeinen Auditschema; sie durchsucht nicht jede Eigenschaft im detaillierten AuditData-Datenpaket. Diese Details können in JavaScript Object Notation (JSON), einem strukturierten Datenformat, dargestellt sein. Wenn eine Stichwortsuche nach einer bestimmten Eigenschaft nichts findet, überprüfen Sie, ob dieses Feld indiziert ist, bevor Sie Schlussfolgerungen ziehen. Beginnen Sie mit klaren Kriterien wie Zeitraum, Aktivität und tatsächlichem Dateispeicherort.

Punkte, auf die Sie bei der Interpretation der Ergebnisse achten sollten

Mehrere verwandte Ereignisse können für eine Aktivität verbleiben, oder der Zeitpunkt der Aufzeichnung kann je nach Dienst unterschiedlich sein. Automatisierte Konten, Apps oder delegierte Aufgaben können ebenfalls mit unterschiedlichen Benutzernamen erscheinen. Handelt es sich um einen wichtigen Vorfall, sollten die detaillierten Protokolle und Konfigurationsänderungsaufzeichnungen des Dienstes mit der Erklärung des Benutzers abgeglichen werden. Befolgen Sie die Standards der Organisation für die Datenverarbeitung, damit Audit-Ergebnisse nicht unnötig dupliziert oder auch nach Abschluss des Untersuchungszwecks aufbewahrt werden.

Ein Überwachungseintrag zur Erstellung eines Freigabelinks zeigt, dass zu diesem Zeitpunkt ein Link erstellt wurde. Er beweist nicht, dass eine externe Person den Inhalt gelesen hat. Auch ein Dateizugriffs- oder Downloadereignis belegt für sich allein weder die Absicht des Benutzers noch ein späteres externes Kopieren. Unterscheiden Sie die Behauptung über den Vorfall von dem, was die konkreten Einträge tatsächlich belegen.

Wenn keine Ergebnisse vorliegen oder Exporte benötigt werden

• Neueste Aktivitäten: Berücksichtigen Sie Verzögerungen bei der Datenerfassung und prüfen Sie zunächst, ob der bestehende Suchauftrag abgeschlossen ist. Um erneut abzufragen, verwenden Sie Diese Suche kopieren, um die Kriterien wiederzuverwenden und eine neue Suche zu starten, wobei der Umfang bei Bedarf angepasst werden kann.
• Perioden-/Zeitfehler: Vergleichen Sie UTC- und Ortszeit, überprüfen Sie das Datum vor und nach Mitternacht. Bestätigen Sie auch die Aufbewahrungsfrist.
• Ziel- oder Berechtigungsfehler: Prüfen Sie die Organisation, Ihren Verwaltungsbereich und den tatsächlichen Akteur sowie den Speicherort. Suchen Sie eine SharePoint-Datei nicht irrtümlich im OneDrive-Speicherort eines einzelnen Benutzers.
• Aktivitätsbedingungsfehler: Überprüfen Sie den genauen Vorgangsnamen, die Verfügbarkeit der Serviceunterstützung und den Status der Audit-Sammlung. Reduzieren Sie jeweils eine Bedingung, um die Ursache zu finden.

Wählen Sie Exportieren aus einer abgeschlossenen Suche, um die Ergebnisse als CSV zu analysieren. Das Portal unterstützt bis zu 50.000 exportierte Zeilen für Audit (Standard) und 1.000.000 für Audit (Premium). Teilen Sie eine größere Untersuchung nach Datum oder Empfängerbereichen auf und überprüfen Sie, ob Ihre Exporte die vorgesehenen Ergebnisse abdecken. Bewahren Sie den ursprünglichen Export unverändert auf und konvertieren Sie die Zeitzonen in einer Analysekopie, damit Sie Ihre Arbeit mit den Originalaufzeichnungen vergleichen können.

Untersuchungsunterlagen beinhalten die Suchbedingungen und Zeitzone, Suchauftrag-ID und Zeit, Schlüsselergebnisse sowie alle Bereiche, die noch nicht bestätigt wurden. Bei Anmeldefehlern prüfen Sie dies in Verbindung mit Microsoft Entra Anmeldeuntersuchung, und bei der Zustellung von E-Mails prüfen Sie dies in Verbindung mit Nachrichtenverfolgung, und schließen Sie nicht allein aufgrund eines fehlenden Logeintrags, dass ein Vorfall nicht aufgetreten ist.