Einstieg in Microsoft Purview Audit-Logs

Von Mirko Peters · 2026-08-28

Willkommen zurück im Begleitblog zum Podcast! In diesem Beitrag gehen wir tief auf die Grundlagen ein, wie Sie Benutzeraktionen in Ihrer Cloud-Umgebung nachverfolgen und überprüfen.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Willkommen zurück im Begleitblog zum Podcast! In diesem Beitrag gehen wir tief auf die Grundlagen ein, wie Sie Benutzeraktionen in Ihrer Cloud-Umgebung nachverfolgen und überprüfen. Wenn Sie Ihren Mandanten absichern, potenzielle Sicherheitsvorfälle untersuchen und die Einhaltung gesetzlicher Vorgaben sicherstellen möchten, ist das Verständnis des Unified Audit Log unverzichtbar. Die vollständige Audio-Zusammenfassung und unsere ausführliche Diskussion zu diesem Thema finden Sie in unserer zugehörigen Podcast-Episode Audit Microsoft 365 User Activity with Purview.

Da Organisationen zunehmend Workloads in die Cloud verlagern, wird die Übersicht über Benutzer- und Administratoraktivitäten deutlich komplexer. Ohne eine strukturierte Auditing-Strategie tappen Sie gegenüber internen und externen Sicherheitsbedrohungen praktisch im Dunkeln. Dieser Leitfaden führt Sie durch die notwendigen Schritte, um Ihre Umgebung zu überprüfen, geeignete Governance-Rollen zuzuweisen und aus dem Microsoft Purview-Portal verwertbare Erkenntnisse zu gewinnen.

Einführung in Microsoft Purview Audit-Logs

Die Überwachung von Benutzer- und Administratoraktivitäten in einem Cloud-Ökosystem ist ein zentraler Bestandteil jeder modernen Cybersicherheitsstrategie. Microsoft Purview dient als zentrale Anlaufstelle für Compliance, Governance und Auditing in Ihrem Mandanten. Es fasst Aktivitätsdaten aus Exchange Online, SharePoint, OneDrive, Microsoft Teams und Microsoft Entra ID in einem einzigen, durchsuchbaren Repository zusammen.

Wer diese Audit-Datensätze auswerten kann, versetzt Administratoren in die Lage, Zeitabläufe bei Sicherheitsuntersuchungen zu rekonstruieren, unautorisierte Konfigurationsabweichungen aufzuspüren und strenge Compliance-Rahmenwerke wie HIPAA, DSGVO und PCI DSS zu erfüllen. Ob Sie einfache Benutzeranmeldungen nachverfolgen oder komplexe Datenabflussmuster über Dateifreigabelinks analysieren: Purview liefert die detaillierte Telemetrie, die Sie für einen sicheren Betrieb benötigen.

Voraussetzungen für das Auditing: Berechtigungen und Rollen

Berechtigungen und Rollen

Bevor Sie mit der Suche nach Sicherheitsanomalien oder dem Erstellen von Compliance-Berichten beginnen, müssen die passenden administrativen Grenzen und die rollenbasierte Zugriffssteuerung (RBAC) eingerichtet sein. Nicht jeder Administrator benötigt vollen Zugriff auf die Rohdaten des Audits. Das Prinzip der minimalen Berechtigungen (Least Privilege) schützt hier sensible Telemetriedaten des Unternehmens.

Wenn Sie diese Rollen über das Microsoft Entra Admin Center oder das Purview-Compliance-Portal zuweisen, erhalten Ihre Compliance-Beauftragten und Sicherheitsanalysten genau die Zugriffsrechte, die sie für ihre Aufgaben benötigen.

Aktivieren der Audit-Protokollierung

Viele moderne Microsoft 365-Abonnements haben das Standardauditing bereits aktiviert. Dennoch ist die Überprüfung des Auditing-Status Ihres Mandanten immer ein verpflichtender erster Schritt. Ist das Auditing deaktiviert, hat Ihre Organisation keinerlei historische Nachweise über Benutzeraktivitäten vor einem Sicherheitsereignis.

1. Prüfen Sie, ob Ihre Organisation über die passende Abonnementstufe verfügt (etwa Microsoft 365 E3 oder E5), um die gewünschte Protokolltiefe zu unterstützen.
2. Stellen Sie mit Exchange Online PowerShell-Befehlen oder im Purview-Portal sicher, dass das Unified Audit Log aktiv ist.
3. Weisen Sie den zuständigen Sicherheitsmitarbeitern die erforderlichen Rollen Audit Reader oder Audit Administrator zu.
4. Konfigurieren Sie erweiterte Funktionen wie Microsoft Purview Audit (Premium), wenn Ihr Unternehmen eine längere Aufbewahrung von Protokollen und die Erfassung hochwertiger Ereignisse benötigt.
5. Etablieren Sie regelmäßige Überprüfungen, damit das Auditing bei komplexen Mandantenmigrationen oder Administratorwechseln nicht unbeabsichtigt deaktiviert wird.

Zugriff auf Audit-Logs im Purview-Portal

Navigation im Purview-Portal

Sobald Ihre Berechtigungen festgelegt und das Auditing bestätigt aktiv ist, können Sie über die Compliance-Oberfläche auf die zentralen Suchwerkzeuge zugreifen. Melden Sie sich am Microsoft Purview-Compliance-Portal an, wechseln Sie in der linken Navigationsleiste zur Lösung „Überwachung“ und wählen Sie dort „Suche“ aus. Anschließend klicken Sie auf „Suche“, um den Parameter-Generator zu öffnen.

Wenn in Ihrer Umgebung ein Ereignis auftritt, dauert es in der Regel 15 bis 60 Minuten, bis die Telemetriedaten vollständig erfasst, indexiert und über das Suchwerkzeug im Portal verfügbar sind. Bei der Reaktion auf Sicherheitsvorfälle in Echtzeit braucht es vor allem Geduld.

Protokolle filtern und exportieren

Da Unternehmensumgebungen täglich Millionen von Telemetriedatensätzen erzeugen, ist manuelles Durchscrollen unmöglich. Purview bietet detaillierte Filterwerkzeuge, mit denen Sie Ihre Untersuchungen gezielt eingrenzen können:

• Datum und Uhrzeit (UTC): Legen Sie präzise Zeitfenster für Ihre Untersuchung fest. Beachten Sie dabei, dass Standardsuchen einen Zeitraum von bis zu 180 Tagen abdecken.
• Schlüsselwörter: Durchsuchen Sie die zugrunde liegenden JSON-Payloads nach bestimmten Zeichenfolgen.
• Aktivitäten (anzeigbare Namen): Wählen Sie gut lesbare Vorgänge aus, statt interner Methodennamen aus dem Backend.
• Datensatztypen: Begrenzen Sie Suchen auf bestimmte Dienste, etwa Dateidownloads in SharePoint oder Postfachzugriffe in Exchange.

Wenn eine tiefergehende Offline-Analyse erforderlich ist, können Sie die Suchergebnisse im Format kommagetrennter Werte (.csv) exportieren. Dieser Export enthält detaillierte Ereignisinformationen in der Spalte AuditData als strukturierte JSON-Objekte. Diese lassen sich anschließend mit Werkzeugen wie Power Query in Excel oder mit externen SIEM-Pipelines auswerten.

Audit-Protokolle verstehen und analysieren

Einzelne Audit-Einträge sind umfangreiche JSON-Dokumente mit Kontextdaten wie IP-Adressen von Clients, User-Agents, IDs betroffener Elemente und genauen Angaben zur Operation. Wer diese Protokolle interpretiert, kann im Sicherheitsteam gutartiges Nutzerverhalten von böswilligen internen Bedrohungen unterscheiden.

Wenn Sie diese Aktivitätskategorien analysieren, kann Ihr Security Operations Center (SOC) subtile Muster von Datenabfluss, Konfigurationsabweichungen oder Rechteausweitung erkennen, lange bevor daraus ein folgenschwerer Datenverlust wird.

Audit-Best-Practices: Planung und Compliance

Eine sichere Umgebung erfordert proaktive Governance statt rein reaktiver Protokollprüfung. Legen Sie wiederkehrende Zeitpläne fest, um privilegierte Konten zu prüfen, Änderungen an Mitgliedschaften in administrativen Gruppen zu überprüfen und automatisierte Warnungsrichtlinien zu testen.

Wenn Sie Purview-Auditdaten über die Microsoft Graph Activity APIs oder Azure Event Hubs in externe Systeme für Security Information and Event Management (SIEM) integrieren, kann Ihr Unternehmen Reaktionen automatisieren. Löst ein Audit-Ereignis beispielsweise einen Alarm wegen massenhafter Dateilöschungen aus, kann eine angebundene Logic App Benutzersitzungen automatisch widerrufen oder das Zurücksetzen der Multi-Faktor-Authentifizierung erzwingen.

Setzen Sie außerdem auf robuste Datenschutzkontrollen. Stellen Sie sicher, dass Ihre Aufbewahrungsrichtlinien für Protokolle gesetzliche und regulatorische Anforderungen mit den Datenschutzstandards Ihrer Organisation in Einklang bringen. Nutzen Sie dafür gegebenenfalls Werkzeuge wie automatisierte Löschung und Pseudonymisierung.

Zugriffs- und Vollständigkeitsprobleme bei Protokollen beheben

Administratoren stoßen beim Abfragen von Protokollen oder beim Prüfen der Telemetrieabdeckung häufig auf Hürden. Wenn Datensätze fehlen oder Zugriffe blockiert werden, arbeiten Sie diese systematische Checkliste zur Fehlerbehebung ab:

• Mandantenprüfung aktiviert: Führen Sie PowerShell-Überprüfungsskripte aus, um sicherzustellen, dass die Protokollierung nicht ausgesetzt wurde.
• RBAC-Zuweisungen prüfen: Stellen Sie sicher, dass Ihr Benutzerkonto über die richtige Rolle Audit Reader bzw. die passenden Compliance-Administratorrollen verfügt.
• Verzögerungen bei der Erfassung prüfen: Denken Sie daran, dass temporäre Warteschlangen im Backend kurze Lücken in Echtzeitsuchen verursachen können.
• Diagnoseeinstellungen prüfen: Bestätigen Sie, dass Ihre Exportpipelines und Diagnoseprofile korrekt zugeordnet sind, damit alle vorgesehenen Workload-Ereignisse erfasst werden.

Wenn die Probleme bestehen bleiben, lesen Sie die offizielle Microsoft-Dokumentation zur Fehlerbehebung oder führen Sie gezielte programmgesteuerte Abfragen per PowerShell aus, um die fehlenden Datensätze einzugrenzen.

Fazit

Die Beherrschung des Auditprotokoll-Ökosystems von Microsoft Purview ist für jeden Cloudadministrator und jeden Sicherheitsexperten unverzichtbar, der seine Microsoft 365-Umgebung absichern möchte. Vom Verständnis grundlegender Berechtigungen und der Aktivierung der einheitlichen Protokollierung bis hin zu komplexen JSON-Exporten und SIEM-Integrationen: Ihre Fähigkeit, Benutzeraktivitäten nachzuverfolgen, bestimmt maßgeblich die gesamte Sicherheitsreife Ihrer Organisation.

Um Ihr Wissen zu vertiefen und praxisnahe Szenarien zur Benutzerüberwachung kennenzulernen, hören Sie sich unbedingt unsere vollständige Begleitfolge an: Audit Microsoft 365 User Activity with Purview. Wer diese strengen Auditing-Praktiken heute umsetzt, schützt morgen zuverlässig die Werte seines Unternehmens und sichert dauerhaft die Compliance.