M365Con 2027 – die kostenlose Online-Konferenz · 11–22 Jan 2027 · 120 sessions→ m365con.net
M365.FM DUB
DeutschDE
EnglishEnglishDeutschDeutschEspañolEspañolFrançaisFrançaisItalianoItalianoPortuguêsPortuguêsNederlandsNederlandsPolskiPolskiBahasa IndonesiaBahasa IndonesiaРусскийРусскийУкраїнськаУкраїнськаالعربيةالعربيةעבריתעברית日本語日本語한국어한국어
☰
CommunityAlle FolgenPodcastBlogVideosBibliothekGästeProfilLernenPodcast

Blog · Mirko Peters

Microsoft 365 Unified Audit Log

Von · · Aktualisiert

Erfahren Sie, wie das Microsoft 365 Unified Audit Log funktioniert, welche Aktivitäten es erfasst und wie Security- und Compliance-Teams es für Untersuchungen nutzen.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

▶ BLOGMicrosoft 365 UnifiedAudit LogM365.FM
Titelbild: Microsoft 365 Unified Audit Log

Das Unified Audit Log ist das zentrale Nervensystem Ihrer Organisation, wenn es um Transparenz in Microsoft 365 geht. Es bündelt Protokolleinträge zu nahezu allen Aktivitäten von Benutzern und Administratoren: ob eine E-Mail gesendet, eine Datei freigegeben, eine Berechtigung angepasst oder eine Sicherheitseinstellung geändert wird. Das ist nicht bloß Verwaltungsaufwand für die IT. Es ist die Grundlage, um Sicherheitsverletzungen zu erkennen, auf Vorfälle zu reagieren und gegenüber Aufsichtsbehörden nachzuweisen, dass Sie regelkonform arbeiten.

Ob Sie ein erfahrener Microsoft-365-Administrator sind oder gerade die ersten Schritte in der Cloud-Sicherheit gehen: Das Unified Audit Log zu verstehen, ist unverzichtbar. Dieser Leitfaden zeigt Ihnen, was das Protokoll ist, warum es wirklich wichtig ist und wie Sie seine Möglichkeiten nutzen, um Ihre Daten zu schützen, Compliance-Anforderungen zu erfüllen und dafür zu sorgen, dass Vorgesetzte, Prüfer und Benutzer aus den richtigen Gründen keinen Anlass zur Nachfrage haben.

Am Ende verfügen Sie über ein solides Verständnis davon, wo Sie anfangen sollten, worauf Sie achten müssen und wie Sie dieses leistungsstarke Werkzeug langfristig für sich nutzen. Wenn Sie nach einer einzigen, umfassenden Ressource suchen, die die Protokollierung in Microsoft 365 verständlich macht, sind Sie hier richtig.

Das Unified Audit Log in Microsoft 365 verstehen

Der Umstieg auf Microsoft 365 hat nicht nur verändert, wie wir arbeiten, sondern auch, wie wir Risiken steuern. Wenn die Daten, E-Mails und Dateien Ihrer Organisation in der Cloud liegen, hat jede Aktion, vom Lesen einer Nachricht bis zum Löschen eines Benutzers, potenziell Auswirkungen auf Sicherheit und Compliance. Deshalb hat Microsoft das Unified Audit Log geschaffen: eine zentrale Stelle, an der alle relevanten Aktivitäten über die verschiedenen 365-Dienste hinweg erfasst und für die Analyse bereitgehalten werden.

Es dient aber nicht nur dazu, schädliches Verhalten aufzudecken oder Administrationsfehler zu beheben. Das Unified Audit Log ist ein wesentlicher Grund, warum Organisationen regulatorische Anforderungen erfüllen, Vorfälle untersuchen oder sogar Phishing-Angriffe aufdecken können, während sie stattfinden. Der Ansatz von Microsoft unterscheidet sich von klassischen lokalen oder fragmentierten Protokollquellen: Signale aus allen Bereichen, etwa Exchange, SharePoint, Teams und weiteren, werden zusammengeführt und über eine einzige, einheitliche Oberfläche durchsuchbar gemacht.

Eine zentrale Protokollierung erspart Ihnen, zwischen mehreren Stellen zu wechseln, und verschafft Ihnen das so wichtige Gesamtbild. Für jede Organisation, ob schnell wachsendes Startup oder globaler Konzern, ist diese Transparenz heute kein Luxus mehr, sondern unverzichtbar. In diesem Abschnitt erhalten Sie einen klaren Überblick darüber, was das Unified Audit Log erfasst, welche Überlegungen hinter Microsofts Design stehen und aus welchen strategischen Gründen IT- und Security-Teams darauf setzen, damit alles reibungslos und sicher läuft. Einen genaueren Blick auf die tägliche Nutzung und bewährte Methoden bietet dieser ausführliche Beitrag zur Überwachung von Benutzeraktivitäten mit Purview, der zeigt, warum die Einrichtung der Protokollierung weit mehr ist als ein Häkchen auf einer Checkliste.

Was ist das Unified Audit Log und wie setzt Microsoft die Protokollierung um?

Das Unified Audit Log ist das zentrale Protokoll von Microsoft 365. Es erfasst Aktivitäten von Benutzern und Administratoren über alle wichtigen Dienste hinweg, darunter Exchange, SharePoint, Teams, OneDrive, Azure Active Directory und weitere. Stellen Sie es sich wie Überwachungskameras für Ihre digitale Umgebung vor: Jeder Tastenanschlag, jede Berechtigungsänderung, jeder Dateizugriff und jede Anmeldung an einem Postfach erhält einen Zeitstempel und wird protokolliert.

Microsoft setzt diesen „einheitlichen“ Ansatz um, indem Ereignisdaten aus jedem Dienst in einem mandantenweiten Protokoll zusammengeführt (gesammelt) werden, auf das im Microsoft Purview-Complianceportal zugegriffen werden kann. Statt separate Berichte für E-Mails, Dokumente oder Chats zu durchsuchen, können Administratoren dienstübergreifende Suchen durchführen und Zusammenhänge zwischen Aktionen in verschiedenen Apps und Diensten herstellen.

Dieser Ansatz ist ein Fortschritt gegenüber fragmentierten oder veralteten Überwachungsprotokollen, die häufig Lücken und blinde Flecken hinterließen. Indem alle Audit-Spuren unter einem Dach zusammengeführt werden, ermöglicht Microsoft reibungslosere Untersuchungen, eine stärkere Einhaltung gesetzlicher Vorgaben und integrierte Bedrohungserkennung. Es ist eine praxisnahe Grundlage für die Reaktion auf Vorfälle, die Überwachung von Insideraktivitäten, das Aufspüren unberechtigter Zugriffe und die Beantwortung unbequemer Fragen von Prüfern, etwa zur DSGVO oder zu HIPAA.

Letztlich ermöglicht Ihnen das einheitliche Überwachungsprotokoll, nachzuvollziehen, wer was wann und wo getan hat – und das über Ihre gesamte Microsoft 365-Umgebung hinweg. Durch die Cloud-first-Architektur von Microsoft werden diese Ereignisse fortlaufend aufgezeichnet. So bleibt die Historie Ihrer Daten lückenlos nachvollziehbar, ob sie positiv oder negativ ausfällt.

Das Wichtigste in Kürze zur einheitlichen Überwachungsprotokollierung

Kernkomponenten und Funktionen des Dashboards für das Überwachungsprotokoll

Sobald das Überwachungsprotokoll aktiviert ist, stellt sich die nächste Frage: Wie sieht es aus, und wie nutzen Sie es im Alltag tatsächlich? Das Dashboard für die einheitliche Überwachung in Microsoft 365 ist der Ort, an dem IT-Fachleute und Sicherheitsteams verdächtige Ereignisse untersuchen, Berichte prüfen und die Einhaltung von Vorgaben nachweisen.

Dieser Abschnitt greift kurz zurück und stellt die wichtigsten Dashboard-Komponenten vor, mit denen Sie im Microsoft Purview-Compliance-Center oder im Security & Compliance Center arbeiten. Sie bekommen ein Gefühl für die Funktionen der Oberfläche, von den Filterbereichen über die Exportwerkzeuge bis zu den integrierten Suchfeldern. Alles ist darauf ausgelegt, große Mengen an Protokolldaten zu durchsuchen, ohne den Überblick zu verlieren.

Doch es geht nicht nur um hübsche Schaltflächen und Tabellen. Ebenso wichtig ist das Verständnis der zugrunde liegenden Architektur. Microsoft hat dieses Dashboard so konzipiert, dass es Daten aus vielen unterschiedlichen Quellen verarbeitet und zusammengehörige Ereignisse zu nachvollziehbaren Abläufen verknüpft. In den folgenden Abschnitten werden wir tiefer einsteigen. Dabei sehen Sie nicht nur, was verfügbar ist, sondern auch, wie zugrunde liegende Prozesse wie die Ereigniskorrelation und die Back-End-Architektur zu einer aussagekräftigen Überwachung beitragen. Einen Einblick, warum Dashboards und Protokolle nur ein Teil des Governance-Puzzles sind, bietet dieser Überblick zu Compliance-Drift und der Stabilität von Dashboards. Er zeigt, warum visuelle Werkzeuge zu den tatsächlichen Benutzerverhaltensweisen passen müssen und nicht nur zu statischen Datensätzen.

Navigation durch die Komponenten und die Oberfläche des Audit-Dashboards

Wie Microsoft Unified Audits Ereignisse und Daten korrelieren

Das einheitliche Überwachungssystem von Microsoft erfasst fortlaufend Ereignisse aus einzelnen Workloads – etwa Nachrichtenfluss, Dokumentbearbeitung, Teams-Unterhaltungen und mehr – und führt sie in einem einzigen, chronologisch sortierten Protokoll zusammen. Jeder Ereignisdatensatz enthält umfangreiche Metadaten: wer die Aktion ausgeführt hat, worauf zugegriffen wurde, wann und wo sie stattfand sowie von welchem Gerät oder welcher IP-Adresse aus.

Dabei geht es jedoch über das bloße Sammeln von Ereignissen in einem großen Topf hinaus. Die Pipeline für die einheitliche Überwachung korreliert Aktivitäten, die mehrere Apps oder Dienste umfassen können. Teilt ein Benutzer beispielsweise eine Datei in OneDrive, wird sie anschließend in Teams geöffnet und über Outlook per E-Mail versendet, sind diese Aktionen miteinander verknüpft. Dieser Prozess der Ereignisverknüpfung ist für Untersuchungen entscheidend, denn er liefert Ihnen eine vollständige „Storyline“ dessen, was sich tatsächlich in Ihrer Microsoft 365-Umgebung abgespielt hat.

Im Hintergrund greift das System auf APIs wie die Office 365 Management Activity API und die Graph API zurück, um Aktivitätsdaten abzurufen, zu normalisieren und zu synchronisieren. Auf diese Weise können Suchvorgänge Muster und Zusammenhänge sichtbar machen – etwa wiederholt fehlgeschlagene Anmeldungen, gefolgt von einer erfolgreichen Anmeldung und dem Download sensibler Daten, jeweils mit eindeutigen Zeitstempeln und lückenlosen Prüfprotokollen.

Korrelierte Überwachung versetzt Sicherheitsteams in die Lage, Bedrohungen zu erkennen, auf Vorfälle schnell zu reagieren und die Einhaltung gesetzlicher Vorgaben nachzuweisen. Sie sehen, welche Konten auf welche Ressourcen zugegriffen haben (und wann). So lassen sich Angriffe erkennen, betriebliche Probleme lösen und die Anforderungen an die lückenlose Nachvollziehbarkeit Ihrer Organisation erfüllen.

Einrichtung und Aktivierung der Überwachungsprotokollierung für Microsoft 365

Bevor Sie das einheitliche Überwachungsprotokoll für Untersuchungen oder Compliance nutzen können, müssen Sie es aktivieren und sicherstellen, dass es korrekt eingerichtet ist. Der Vorgang ist unkompliziert, je nach Ihrer Rolle, Ihrer Vertrautheit mit PowerShell und danach, ob Sie in einem komplexen Unternehmen oder einer kleineren Organisation arbeiten, gibt es jedoch einige Wahlmöglichkeiten.

Dieser Abschnitt zeigt die verschiedenen Wege auf, die einheitliche Überwachungsprotokollierung in Microsoft 365 zu aktivieren. Manche Benutzer wählen das Microsoft Purview Compliance-Portal für eine Bedienung per Mausklick, andere – insbesondere wer viele Mandanten verwaltet oder die Einführung automatisiert – bevorzugen PowerShell-Skripte für mehr Kontrolle und Wiederholbarkeit.

Beachten Sie: Das Aktivieren des Protokolls ist nur der erste Schritt. Wenn Sie Daten länger aufbewahren oder erweiterte Überwachungsfunktionen nutzen möchten – etwa längere Aufbewahrung, detailliertere Protokolle oder verlängerte Untersuchungszeiträume –, sollten Sie außerdem Ihre Microsoft 365-Lizenzstufe prüfen. E5, Premium und zusätzliche Compliance-Lizenzen schalten Überwachungsfunktionen frei, die in stark regulierten Umgebungen unverzichtbar sind. Bereit für die praktische Einrichtung? Praktische Hinweise finden Sie in diesem Leitfaden zur Einrichtung der Microsoft Purview-Überwachung, der Best Practices, Unterschiede zwischen den Lizenzstufen und Hinweise zur Fehlerbehebung bei der Aktivierung beschreibt.

So aktivieren Sie das einheitliche Überwachungsprotokoll von Microsoft

Lizenzaspekte und verlängerte Aufbewahrung des Überwachungsprotokolls

Überwachung und Suche in Microsoft 365-Überwachungsprotokollen

Sobald das einheitliche Überwachungsprotokoll aktiviert ist, liegt der eigentliche Nutzen darin, die Daten richtig zu interpretieren. Ob Sie proaktiv nach Bedrohungen suchen, auf einen Vorfall reagieren oder einfach Ihren Prüfern quartalsweise Nachweise liefern: Den größten Teil Ihrer Zeit verbringen Sie damit, Einträge im Dashboard zu suchen, zu filtern und auszuwerten.

Dieser Abschnitt legt die Grundlage für ein praxisnahes Protokollmanagement. Sie erfahren, was Überwachungssuchen wirksam macht, warum durchdachte Suchstrategien wichtig sind und wie Sie die „Nadel“ aus dem digitalen Heuhaufen herauslösen. Klare Suchparameter und gezielte Abfragen führen direkt zu schnelleren Untersuchungen und weniger Fehlalarmen.

Wichtig ist nicht nur, die Protokolle zu finden, sondern auch zu wissen, worauf Sie achten müssen, und das Gefundene richtig zu deuten. Lücken, Inkonsistenzen oder unerklärliche Spitzen zu erkennen, entscheidet oft darüber, ob Sie eine Bedrohung durch Insider früh erkennen oder kritische Warnsignale übersehen. Wir zeigen außerdem, welche Aktivitäten von Benutzern und Administratoratoren vorrangig überwacht werden sollten, basierend auf ihrem Risiko, ihrem Compliance-Wert oder der Wahrscheinlichkeit, dass sie einen Datenabfluss auslösen. Weitere praktische Hinweise zur proaktiven Überwachung, zu Echtzeitwarnungen und zum Schließen von Lücken in der Überwachung finden Sie in diesem Leitfaden zur Überwachung von Benutzeraktivitäten mit Purview und in diesem Framework für Kontrollen der externen Freigabe.

Effektive Überwachungssuchen im Dashboard durchführen

Überwachungsergebnisse interpretieren und Inkonsistenzen erkennen

Kritische Aktivitäten von Benutzern und Administratoren im Blick behalten

Anwendungsfälle und Nutzen für Sicherheit und Compliance

Das Überwachungsprotokoll ist nicht nur etwas, das Sie „für die Compliance einfach haben müssen“. Richtig genutzt, verändert es die Lage sowohl für die Sicherheit als auch für die Ausfallsicherheit des Geschäftsbetriebs. Das einheitliche Überwachungsprotokoll von Microsoft 365 ist das Fundament für die Reaktion auf Sicherheitsvorfälle, die Bedrohungssuche und den Nachweis, dass Ihre Organisation globale regulatorische Anforderungen erfüllt.

Dieser Abschnitt zeigt, was Organisationen durch die Nutzung des Überwachungsprotokolls tatsächlich gewinnen: kontinuierliche Einblicke in riskantes Verhalten, schnelle Antworten bei Vorfällen und einen verlässlichen Weg, Bußgeldern oder Datenschutzverletzungen vorzubeugen. Von der DSGVO über HIPAA und SOX bis zu CCPA wird der Nachweis, dass Sie wissen, „wer was wann und wo getan hat“, zunehmend unverzichtbar.

Außerdem sehen Sie Überwachungsprotokolle in anschaulichen Szenarien im Einsatz: von der Nachverfolgung eines Datenlecks bis zur Abwehr einer Phishing-Kampagne oder der lückenlosen Dokumentation aller Schritte für Ihre nächste Compliance-Prüfung. Starke Prüfprozesse helfen, riskante Situationen von potenziellen Katastrophen in kontrollierbare, beherrschbare Ereignisse zu verwandeln. Wie Compliance und Nachvollziehbarkeit in umfassendere Kontrollen und regulatorische Rahmenwerke eingebettet sind, erfahren Sie in dieser Podcast-Folge über kontinuierliche Compliance-Bereitschaft und Echtzeit-Kontrolle. Wie Governance-Drift die Wirksamkeit von Prüfungen beeinflusst, lesen Sie in dieser verständlichen Zusammenfassung zu den Herausforderungen durch Compliance-Drift.

Zentrale Vorteile für Administratoren und Organisationen

Aktivitäten und Anwendungsfälle für Sicherheit und Compliance

Bewährte Methoden für die Verwaltung der Überwachungsprotokolle in Microsoft 365

Ein gutes Protokollierungskonzept ist nur so wirksam wie die Praktiken dahinter. Um Ihre Umgebung wirklich abzusichern und Compliance-Anforderungen zu erfüllen, reicht es nicht aus, die Protokollierung einfach „einzuschalten“. Sie brauchen belastbare Verfahren für die Konfiguration, Überprüfung und Archivierung der Überwachungsprotokolle.

Dieser Abschnitt zeigt Ihnen, wie Sie Informationsflut und Compliance-Lücken in den Griff bekommen, und stellt Ansätze vor, die in der Praxis funktionieren. Ob Sie auf geplante Überprüfungen, automatisierte Exporte oder die Integration in SIEM-Systeme und Analyselösungen von Drittanbietern setzen: Das Ziel ist eine vorhersehbare, verlässliche und handlungsrelevante Transparenz über Ihre digitalen Aktivitäten.

Teil dieser Betrachtung ist, zu wissen, wann Sie über die standardmäßigen Microsoft-Werkzeuge hinausgehen sollten, insbesondere in komplexen, mandantenübergreifenden oder regulierten Umgebungen. Open-Source-Werkzeuge, PowerShell-Skripte und Export-Module können Ihre Reichweite erweitern und erweiterte Analysen oder die Verwaltung großer Protokollmengen ermöglichen. Hinweis: Der Abschnitt geht auch darauf ein, wie PowerShell für skalierbare Überwachung eingesetzt werden kann. Während manche Anleitungen bei der Umsetzung nicht weiterkommen, liegt unser Fokus darauf, was zu verlässlicher Compliance und beherrschbaren Risiken führt. (Wenn Sie sich für die Rolle von PowerShell bei der Automatisierung interessieren, gibt es einen geplanten Leitfaden unter diesem Link zur Governance-Automatisierung mit PowerShell. Beachten Sie jedoch, dass dieser derzeit auf verwandte Podcasts weiterleitet.)

Konfigurationspraktiken und Auditing-Tools von Drittanbietern für eine verbesserte Protokollierung

Aufbewahrung von Daten im einheitlichen Überwachungsprotokoll und Governance-Richtlinien

Wie lange Sie Ihre Audit-Protokolle aufbewahren und was Sie während ihres Lebenszyklus damit tun, kann über Erfolg oder Misserfolg Ihres Compliance-Programms entscheiden. Aufbewahrung geht nicht nur darum, eine Vorgabe der Aufsichtsbehörden abzuhaken. Es geht darum, reale Speicherkosten zu steuern, Datenschutzrisiken zu verringern und jederzeit bereit zu sein, wenn ein Audit oder eine Untersuchung ansteht.

Dieser Abschnitt behandelt eine oft übersehene, aber entscheidend wichtige Aufgabe: die Festlegung benutzerdefinierter Aufbewahrungs- und Governance-Richtlinien für einheitliche Überwachungsprotokolle. Sie erfahren, warum die Standardeinstellungen in vielen Branchen nicht ausreichen, welche Tools helfen, den Lebenszyklus zu steuern, und wie Sie Fallstricke wie zu lange Aufbewahrung oder eine unnötig hohe Gefährdung bei Datenpannen vermeiden.

Die richtige Richtlinie berücksichtigt rechtliche, betriebliche und kostenbezogene Anforderungen gleichermaßen: Bewahren Sie wesentliche Daten so lange auf, wie es Ihre Aufsichtsbehörden verlangen, entfernen Sie sie, sobald die Pflicht abläuft, und dokumentieren Sie Ihr Vorgehen, damit Sie nie unvorbereitet sind. Tipps zum vollständigen Lebenszyklusmanagement von Inhalten und zur Auditbereitschaft finden Sie in diesem Podcast zu Purview und SharePoint-Compliance. Zum Risiko, bei der Aufbewahrung nur „Ergebnisse“ zu messen, lesen Sie außerdem diese Zusammenfassung zu Compliance-Drift, die die Nuancen zwischen Richtlinie und tatsächlicher Verhaltensänderung beleuchtet.

Benutzerdefinierte Aufbewahrungsrichtlinien für Audit-Protokolldaten

Ausgleich zwischen Audit-Log-Compliance, Speicher und Datenschutzrisiken

Fazit und weitere Ressourcen zu einheitlichen Audit-Protokollen

Die einheitliche Überwachungsprotokollierung ist nicht nur ein technisches Detail, sondern eine strategische Notwendigkeit für jede Microsoft-365-Organisation, der Sicherheit, Compliance und betriebliche Klarheit wichtig sind. Da jede Anmeldung, jede Dateifreigabe und jede Richtlinienänderung über mehrere Dienste hinweg erfasst wird, bietet das einheitliche Überwachungsprotokoll das forensische Fundament, das Sie benötigen, um aktuelle und sich entwickelnde Bedrohungen zu untersuchen, zu berichten und abzuwehren.

Entscheidend ist nicht allein das Sammeln der Daten, sondern das Wissen, wie Sie darauf reagieren: wirksame Aufbewahrung festlegen, Reaktionen automatisieren, Auffälligkeiten überwachen und Auditoren genau das bereitstellen, was sie brauchen, und nicht mehr. Mit klaren Verfahren, passgenauen Aufbewahrungsrichtlinien und den richtigen Tools sind Sie Angreifern und Aufsichtsbehörden um mehrere Schritte voraus.

Wenn Sie tiefer einsteigen oder in Ihrer Organisation fortgeschrittene Protokollierungsverfahren einsetzen möchten, finden Sie im folgenden Abschnitt praxisnahe Ressourcen. Dort finden Sie Links zur offiziellen Microsoft-Dokumentation, hilfreiche PowerShell-Module und kuratierte Community-Leitfäden. Nutzen Sie diese als Referenz, um Ihre einheitliche Überwachungslösung aufzubauen, Fehler zu beheben oder sie zu erweitern. Für eine gründliche, praxisorientierte Aufarbeitung – inklusive aktueller Best Practices und Zusatztools – merken Sie sich bitte diese Ressource zur Überwachung in M365 Purview als nächste Anlaufstelle vor.

Weiterführende Literatur und offizielle Microsoft-Ressourcen zum Überwachungsprotokoll

Das sollten Sie sich außerdem anhören

Wenn Sie sich mit dem Microsoft 365 Unified Audit Log beschäftigen, liefern Ihnen diese Folgen praxisnahen Kontext, der Governance, Sicherheit, Compliance und KI-Konzepte mit realen Microsoft-Umgebungen verbindet.

Diese Folgen eignen sich als nächste Schritte, wenn Sie von einer Definition oder einem Rahmenwerk zu konkreten Implementierungsentscheidungen übergehen möchten.

Audit logs Microsoft 365 Exchange Online SharePoint Microsoft Agent harness Microsoft Places Microsoft Purview

Verwandte Artikel

RSS