Unified Audit Log funktioniert nicht

Von Mirko Peters · 2026-04-23 · Aktualisiert 2026-07-18

Fehlerbehebung, wenn das Unified Audit Log in Microsoft 365 nicht funktioniert: Prüfen Sie Überwachung, Berechtigungen, Suchfilter, Lizenzierung und Verzögerungen.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

In der IT gibt es kaum etwas Ärgerlicheres, als das Microsoft 365-Überwachungsprotokoll zu öffnen und … nichts passiert. Das Unified Audit Log soll Ihnen einen vollständigen Einblick in die Aktivitäten von Benutzern und Administratoren geben. Das ist unverzichtbar für die Reaktion auf Sicherheitsvorfälle, für Compliance und schlicht für die eigene Nervenruhe. Fehlen Daten, lässt sich nichts durchsuchen oder hängt der Export dauerhaft, kann Ihr gesamter Sicherheitsprozess ins Stocken geraten.

Dieser Leitfaden behandelt die wichtigsten Gründe, warum das Unified Audit Log Probleme machen kann. Das reicht von fehlenden Berechtigungen über verzögerte Daten bis hin zu unbemerkt eingespielten Microsoft-Updates. Sie finden konkrete Schritte, um alles wieder in Gang zu bringen, sowie Tipps, um künftige Überraschungen zu vermeiden. Außerdem gehen wir auf Probleme ein, über die kaum jemand spricht: Lizenzlücken, Konfigurationskonflikte und Verarbeitungsverzögerungen im Hintergrund, die wie echte Ausfälle aussehen. Am Ende wissen Sie nicht nur, wie Sie Probleme mit der Überwachung beheben, sondern auch, wie Sie Ihre Protokolle so verlässlich halten wie Ihren Morgenkaffee.

Überwachungsprotokollierung in Microsoft 365-Apps aktivieren

Die Aktivierung der Überwachungsprotokollierung für Exchange Online, SharePoint, OneDrive und Teams ist der erste Schritt, um verlässliche Daten aus dem Unified Audit Log zu erhalten. Er wird oft übersehen. Sie nehmen diese Einstellung im Microsoft 365-Compliance-Portal vor, das bei den meisten Organisationen inzwischen als Microsoft Purview bezeichnet wird.

Bei kommerziellen Mandanten öffnen Sie das Microsoft Purview-Portal, wechseln zu „Überwachung“ und prüfen, ob die Überwachungsprotokollierung tatsächlich aktiviert ist. Glauben Sie es oder nicht: Sie ist selbst bei neueren Mandanten nicht immer automatisch aktiv. Wenn Sie noch das klassische Compliance-Portal nutzen oder sich in einem Government-Mandanten (GCC oder DOD) befinden, kann die Benutzeroberfläche leicht abweichen. Die Einstellungen finden Sie aber an einer ähnlichen Stelle, unter „Suche“ oder „Überwachungsprotokollsuche“.

Gehen Sie bei der Aktivierung des Unified Audit Log nicht davon aus, dass „Standard“ auch „erledigt“ bedeutet. Neue Microsoft 365-Apps benötigen manchmal eine erneute Aktivierung, damit die Überwachung vollständig abgedeckt ist. Teams oder neue SharePoint-Websites werden zum Beispiel möglicherweise nicht vollständig erfasst, wenn die zugrunde liegenden Dienste erst später bereitgestellt wurden. Es ist immer sinnvoll, den Protokollierungsstatus nach der Einführung neuer Dienste zu überprüfen.

Denken Sie daran: In manchen Umgebungen sind mehrere Schritte nötig, damit alles vollständig erfasst wird. Auditing user activity with Microsoft Purview hilft Ihnen dabei, zu erkennen, welche Stufen Sie haben (Audit Standard oder Audit Premium), was protokolliert wird und wie Sie sicherstellen, dass jede Cloud-Arbeitslast abgedeckt ist. Die fehlende Überprüfung ist der häufigste Grund dafür, dass Protokolle genau dann fehlen, wenn Sie sie am dringendsten brauchen.

Berechtigungen für Überwachungstools und Zugriff auf das Compliance-Portal

Ein funktionierendes Überwachungsprotokoll hängt nicht nur davon ab, die richtigen Schalter umzulegen. Entscheidend ist auch, welche Rolle Sie in Microsoft 365 haben. Um Überwachungsprotokolle aufzurufen und zu durchsuchen, benötigen Administratoren die passenden Berechtigungen, die über Microsoft Purview oder das Security & Compliance Center vergeben werden.

Unverzichtbar sind in der Regel die Rollen Compliance Administrator, Audit Logs oder Security Reader. Sie werden über Rollengruppen im Microsoft Purview-Portal vergeben, manchmal auch über Entra ID. Wenn Sie versuchen, Protokolle abzurufen, und etwas funktioniert nicht oder ist ausgegraut, prüfen Sie genau, ob Ihr Konto tatsächlich der richtigen Gruppe angehört. Kontrollieren Sie außerdem, ob seit kürzlichen Änderungen genug Zeit für die Synchronisierung im Microsoft 365-Backend vergangen ist.

Typische Fallstricke? Benutzer werden der falschen Gruppe zugewiesen, etwa Global Reader statt Compliance Administrator. Rollen in Entra ID werden vergeben, ohne das Purview-Setup zu berücksichtigen. Oder man übersieht, dass Zugriffsänderungen bis zu 24 Stunden brauchen, bis sie wirksam werden. Uneinheitliche Rollenzuweisungen oder die Nutzung von Notfallzugriffskonten, die manuelle Prüfungen umgehen, können ebenfalls dazu führen, dass Überwachungstools nicht wie erwartet arbeiten.

Ein gut verwalteter Überwachungszugriff bedeutet nicht nur, Türen zu öffnen. Er umfasst auch gute Governance, das Entfernen nicht mehr benötigter Benutzer und regelmäßige Zugriffsüberprüfungen. Ausführlich erklären wir das in diesem Leitfaden zu Datenzugriff und Governance in Microsoft 365. Wenn Sie Berechtigungen straff halten, vermeiden Sie unbeabsichtigte Lücken in der Überwachung und stellen gleichzeitig sicher, dass Sie Ihre eigenen Sicherheitsrichtlinien einhalten.

Fehlerbehebung bei Ausfällen des Unified Audit Log in Microsoft 365

Wenn das einheitliche Überwachungsprotokoll fehlerhaft wirkt, etwa mit leeren Suchergebnissen, fehlenden Einträgen oder fehlerhaften Exportoptionen, steckt meist ein tieferliegendes Problem in der Konfiguration, bei den Lizenzen oder bei Verzögerungen im Backend. Diese Probleme ähneln sich oft stark, haben aber häufig sehr unterschiedliche Ursachen und Lösungen.

Bevor Sie den Support kontaktieren oder eine Eskalation anstoßen, sollten Sie wissen, wie ein „normaler“ Zustand aussieht. Außerdem hilft es, die passenden Schritte zur Fehlerbehebung zu kennen. Damit lässt sich klären, ob Ereignisse fehlen, der falsche Zeitraum angezeigt wird, Berechtigungen fehlen oder ein von Microsoft vorgegebenes Limit erreicht wurde. Manchmal ist die Ursache so einfach wie eine verzögerte Erfassung. In anderen Fällen steckt eine subtile Lizenzfrage oder eine Richtlinienänderung dahinter, die unbemerkt geblieben ist.

In den folgenden Abschnitten finden Sie praktische Hinweise zur Analyse von Lücken, zur Prüfung der Vollständigkeit von Protokollen, zum Umgang mit Besonderheiten bei PowerShell und Exporten sowie zum Filtern von Ergebnissen für die Auswertung in der Praxis. Wenn Sie diese Schritte verstehen, erkennen Sie die häufigsten und kniffligsten Fehler im Überwachungsprotokoll schneller und können sie zügiger beheben.

Zuverlässigkeit und Vollständigkeit: Fehlende oder unvollständige Überwachungseinträge beheben

• Aufbewahrungsrichtlinie und Lizenzierung prüfen: Datenlücken treten häufig auf, wenn Ihre Microsoft 365-Lizenzen keine verlängerte Aufbewahrung unterstützen (nur E5 oder Premium) oder wenn die Lizenz eines Benutzers kürzlich geändert wurde. Prüfen Sie immer, ob Sie die passende Lizenzstufe für die benötigten Einträge und den benötigten Zeitraum haben.
• Verzögerungen bei der Erfassung prüfen: Überwachungsprotokolle werden nicht in Echtzeit geschrieben. Es kann eine integrierte Verzögerung von 15 Minuten bis zu mehreren Stunden geben, in seltenen Fällen auch länger, etwa am Wochenende oder bei Störungen des Microsoft-Dienstes. Diese Verzögerung kann den Eindruck erwecken, dass Einträge fehlen, obwohl sie nur verspätet vorliegen.
• Drosselung und Exporteinschränkungen erkennen: In großen Mandanten kann es zu Drosselung kommen, insbesondere wenn Exporte oder Suchen in hohem Umfang laufen. Einige Aktivitäten fehlen möglicherweise oder erscheinen verzögert, wenn Sie Ratenbegrenzungen oder Sitzungsgrenzen erreichen.
• Fehlalarme ausschließen: Prüfen Sie, ob Filter für Benutzer, Datum oder Aktivitäten versehentlich zu eng oder falsch konfiguriert sind. Ein zu schmaler Suchzeitraum, der falsche Benutzer oder die falsche Gruppe oder das Herausfiltern unkritischer „Rauschereignisse“ können den Eindruck erwecken, dass etwas defekt ist, obwohl es das nicht ist.
• Mandantenweite Konfigurationsprobleme prüfen: Manchmal können Einstellungen für bedingten Zugriff, Berechtigungen von Dienstprinzipalen oder sogar Compliance-Sperrrichtlinien die Erstellung von Überwachungsereignissen beeinträchtigen. Prüfen Sie aktuelle Konfigurations- und Sicherheitsänderungen, um verborgene Ursachen auszuschließen.

Verwendung des Cmdlets Search-UnifiedAuditLog in Microsoft PowerShell

Das Cmdlet Search-UnifiedAuditLog in PowerShell ist ein leistungsstarkes Werkzeug für die erweiterte Fehlersuche. Es ermöglicht Ihnen, am Webportal vorbei direkt das einheitliche Überwachungsprotokoll in Microsoft 365 abzufragen. Besonders nützlich ist es für Massenexporte, die Prüfung großer Zeiträume oder die Automatisierung wiederkehrender Untersuchungen.

Typische Administrationsaufgaben sind die Suche nach Datum, Benutzer oder Aktivität sowie der Export der Ergebnisse für eine detaillierte Analyse. Achten Sie dabei auf bekannte Einschränkungen, etwa das Exportlimit von 50.000 Datensätzen oder eine Drosselung, wenn Sie wiederholt große Suchen ausführen. Fehlermeldungen zeigen Ihnen, ob ein Problem im Backend, im Portal oder lediglich an einem Skalierungslimit Ihrer Sitzung liegt.

Die Automatisierung bietet viel Potenzial. Manche Ressourcen, etwa die Vertiefungen zu PowerShell-Governance, leiten möglicherweise auf andere Inhalte weiter, wenn Materialien verschoben werden. Die offizielle Dokumentation und die Foren bleiben jedoch unverzichtbar, wenn Sie die neuesten Cmdlet-Optionen und Fallstricke kennen möchten.

Filtern nach Datum und Benutzer sowie Detailansicht beim Exportieren von Protokollen

• Nach Datumsbereich filtern: Definieren Sie immer einen konkreten Zeitraum, etwa eine Woche oder wenige Tage, um die Suchergebnisse einzugrenzen und unnötige Einträge zu reduzieren. Zu breite Datumssuchen übersehen oft Ereignisse oder überlasten die Exportfunktion.
• Auf Benutzer oder Aktivitätstyp eingrenzen: Verwenden Sie Benutzerprinzipalnamen oder Aktivitätsbegriffe, damit nur die Ereignisse abgerufen werden, die Sie tatsächlich benötigen. So sparen Sie lange Wartezeiten und verringern das Risiko, die Größenbeschränkungen des Exports zu erreichen.
• Ereignisdetails vor dem Export prüfen: Wenn Sie vor einem Massenexport einen einzelnen Protokolleintrag öffnen, können Sie bestätigen, dass Ereignisse wie erwartet mit den richtigen Metadaten erfasst werden.
• Export in überschaubaren Blöcken durchführen: Teilen Sie größere Überwachungsexporte in kleinere, sich leicht überschneidende Zeiträume auf. So vermeiden Sie Zeitüberschreitungen und unvollständige CSV-Dateien.

Überwachungssuchen ausführen und Daten des einheitlichen Überwachungsprotokolls exportieren

Um eine Microsoft 365-Überwachungssuche auszuführen, öffnen Sie das Microsoft Purview-Portal und wählen den Bereich Überwachung aus. Legen Sie den Zeitraum, die Benutzer und die Aktivitätstypen fest, um Ihre Abfrage zu erstellen. Vermeiden Sie Suchen über alle Benutzer oder den gesamten Mandanten, sofern Sie diese nicht wirklich benötigen, da sie die Benutzeroberfläche und die Exportfunktion überlasten können.

Sobald Ergebnisse angezeigt werden, können Sie diese im Webportal in der Vorschau anzeigen oder als CSV-Datei exportieren. Beachten Sie: Sehr umfangreiche Ergebnisse können fehlschlagen oder ein Timeout verursachen. Halten Sie Abfragen daher gezielt. Treten beim Export Fehler auf, verkleinern Sie den Zeitraum oder extrahieren Sie die Überwachungsprotokolle mit PowerShell in Stapeln.

Prüfen Sie exportierte Dateien stets auf Vollständigkeit, also auf Spalten und Zeiträume, bevor Sie sich bei Untersuchungen darauf verlassen.

Verzögerungen bei der Verarbeitung des einheitlichen Überwachungsprotokolls und Probleme mit Datenverzögerungen

Einer der am häufigsten übersehenen Gründe für „fehlende“ Überwachungsdaten? Schlicht und einfach Verzögerung. Überwachungsprotokolle werden nicht immer in Echtzeit bereitgestellt. Microsoft verarbeitet Aktivitätsereignisse in Stapeln, und der tatsächliche Protokolleintrag erscheint manchmal erst lange nach der Benutzeraktion.

Das führt schnell zu hektischen Supporttickets und unnötiger Fehlersuche, obwohl die Protokolle lediglich langsam sind und nicht fehlerhaft. Es ist entscheidend, die üblichen Verarbeitungszeiten zu kennen und zu erkennen, ob es sich um eine normale Verzögerung oder um echten Datenverlust bzw. einen Systemfehler handelt. Dieser Abschnitt erläutert, wie diese Verzögerungen entstehen, und zeigt, wie Sie nachvollziehen, welche Ereignisse tatsächlich fehlen und welche nur verspätet eintreffen.

Normale und ungewöhnliche Verzögerungen bei der Verarbeitung von Überwachungsprotokollen verstehen

Microsoft 365-Überwachungsprotokolle verarbeiten Aktionen von Benutzern und Administratoren in der Regel innerhalb von 15 Minuten bis zu einer Stunde. Verzögerungen von bis zu 24 Stunden sind aber nicht ungewöhnlich, insbesondere bei Dienstwartungen, regionalen Störungen oder bei bestimmten Ereignissen mit niedriger Priorität.

Laut dem offiziellen Microsoft-SLA liegt die maximale Verfügbarkeitszeit von Protokolldaten unter normalen Bedingungen bei 24 Stunden. Alles, was kürzer dauert, entspricht also den Erwartungen. Wenn Überwachungsereignisse länger fehlen oder mehrere Aktivitätstypen über das Normale hinaus verzögert sind, sollten Sie die Ursache genauer untersuchen.

Beachten Sie, dass manche Dienste, etwa Teams oder Aktivitäten von Drittanbieter-Apps, ihre Protokolle anders bündeln als SharePoint oder Exchange. Prüfen Sie stets die aktuellen Microsoft-Servicemeldungen, bevor Sie von einem systemweiten Protokollausfall ausgehen.

Vollständigkeit der Protokolldaten über die Zeit überwachen und bestätigen

• Erwartete Aktivitäten als Basis festlegen: Ermitteln Sie eine bekannte Benutzeraktion, etwa eine Anmeldung am Postfach oder einen Dateiupload, notieren Sie deren Zeitstempel und prüfen Sie anschließend, wie lange die entsprechenden Überwachungsereignisse brauchen, bis sie erscheinen.
• PowerShell-Skripte verwenden: Automatisieren Sie tägliche Prüfungen mit geplanten Skripten, die aktuelle Protokolleinträge abrufen, Zeitstempel vergleichen und Auffälligkeiten melden. So müssen Sie sich nicht auf manuelle Kontrollen verlassen.
• Rückstand über mehrere Tage verfolgen: Fehlt ein Protokolleintrag, prüfen Sie erneut nach 24 und 48 Stunden. Verzögerungen lösen sich manchmal von selbst, und anhaltende Lücken können auf Engpässe im Backend hinweisen.
• Mit Benutzermeldungen abgleichen: Behaupten Benutzer, eine wichtige Aktivität sei nicht überwacht worden, vergleichen Sie deren Aktivitätsdatum mit den Zeitstempeln des Exports. So schließen Sie einen verpassten Import aus, bevor Sie einen Supportfall eröffnen.

Bereitschaft der Überwachungsprotokolle und Compliance-Strategie

Verlässliche Überwachungsprotokolle in Microsoft 365 erhalten Sie nicht erst im Ernstfall, sondern deutlich früher. Organisationen brauchen einen Plan, der den gesamten Lebenszyklus abdeckt: Lizenzierung, Aufbewahrung, Automatisierung und Compliance-Strategie. Viele Protokollausfälle gehen auf einfache Fehler zurück, etwa fehlende Abonnements, nicht zugewiesene Rollen oder nicht zueinander passende Richtlinieneinstellungen.

Dieser Abschnitt stellt alle wichtigen Bausteine vor: wie lange Ihre Protokolle aufbewahrt werden (und wo sich das je nach E3, E5 und Behördenplänen unterscheidet), welche Checklisten Ihre Konfiguration absichern und praktische Lizenzierungstipps, um stille Ausfälle zu vermeiden. Außerdem erfahren Sie, wie Microsoft Purview und verwandte Sicherheitskontrollen wie DLP und Vertraulichkeitsbezeichnungen in ein größeres Compliance-Gesamtbild passen.

Mit Cloud-Zusammenarbeit reicht ein aktiviertes Audit-Protokoll allein nicht aus. Echte, nachhaltige Bereitschaft entsteht durch regelmäßige Überprüfungen, eine durchdachte Richtlinienstrategie und die Abstimmung der technischen Details auf Ihre geschäftlichen und regulatorischen Risiken. Für die kniffligeren Aspekte von Compliance und KI-gestützten Inhalten lohnt sich diese Analyse zu versteckter Compliance-Drift sowie die Governance von Copilot mit Purview. Dort wird deutlich, dass stabile Dashboards nur einen Teil des Bildes zeigen.

Grundlagen zur Aufbewahrung von Audit-Protokollen und praktische Checkliste für das Microsoft 365-Audit

• Administratorrollen korrekt zuweisen: Stellen Sie sicher, dass alle notwendigen Audit-, Compliance- und Sicherheitsrollen zugewiesen sind, etwa Compliance-Administrator und Audit-Protokolle, und zwar sowohl in Purview als auch in Entra ID.
• Lizenzanforderungen prüfen: Die Standardaufbewahrung von Audit-Daten beträgt bei den meisten E3-Mandanten (kommerziell) 90 Tage. E5 oder Audit Premium ermöglichen eine verlängerte Aufbewahrung (ein Jahr oder mehr), bessere Signale und einige hochwertige Ereignisse. Prüfen Sie doppelt, ob alle Benutzer, die erfasst werden müssen, korrekt lizenziert sind, besonders nach Änderungen oder der Einführung gruppenbasierter Lizenzierung.
• Purview-Auditeinstellungen konfigurieren: Prüfen Sie, ob die Protokollierung ausdrücklich aktiviert ist und alle zentralen Dienste umfasst, also Exchange, SharePoint, OneDrive, Teams und alle kritischen Apps. Lassen Sie auch das Onboarding neuer Dienste nicht aus.
• Aufbewahrungs- und Exportrichtlinien prüfen: Legen Sie die Aufbewahrung im Einklang mit Ihren geschäftlichen und regulatorischen Anforderungen fest. Achten Sie auf konkurrierende Purview-Richtlinien oder Aufbewahrungssperren, die dienstübergreifende Inkonsistenzen verursachen könnten.
• Abdeckung regelmäßig testen und prüfen: Führen Sie Beispielsuchen im Audit-Protokoll durch, dokumentieren Sie das erwartete Aufbewahrungsfenster und exportieren Sie monatlich Beispielprotokolle, um zu bestätigen, dass die Daten vorhanden und im Bedarfsfall zugänglich sind.
• Zusätzliche Compliance-Maßnahmen erwägen: Erweitern Sie in Hochrisikoumgebungen die Governance um DLP, Vertraulichkeitsbezeichnungen und regelmäßige Überprüfungen von Zugriffen und Eigentümerschaften, um Lücken im Audit zu vermeiden und eine wirksame Reaktion auf Vorfälle zu ermöglichen.

Lücken bei einem der genannten Punkte und die Annahme, Aufbewahrung sei unbegrenzt, sind die häufigsten Ursachen dafür, dass kritische Ereignisse fehlen, wenn die Untersuchung beginnt. Richten Sie Ihre Checkliste an Ihren konkreten Risiken und regulatorischen Pflichten aus, damit Sie jederzeit vorbereitet und abgedeckt sind.

Profi-Tipps für den maximalen Nutzen des einheitlichen Audit-Protokolls

Wenn Sie mit dem einheitlichen Audit-Protokoll von Microsoft 365 arbeiten, kratzen oberflächliche Suchen nur an der Oberfläche. Wenn Sie wirklich alles erfassen möchten, besonders Postfachaktionen von Benutzern oder Administratoren, sollten Sie die erweiterten Suchfilter nutzen. Scheuen Sie sich nicht vor PowerShell: Befehle wie Search-UnifiedAuditLog ermöglichen es, nach Benutzer, Datum oder Aktivität gezielt zu filtern.

Nutzen Sie auch die Exportoptionen. Das regelmäßige Exportieren von Audit-Daten in CSV-Dateien erleichtert den Abgleich von Protokollen mit Zeitachsen aus Vorfällen erheblich. Wenn Sie herausfinden möchten, wer eine vertrauliche Datei gelöscht hat oder wann jemand unerwartet Postfachberechtigungen vergeben hat, werden diese exportierten Details zu wertvollen Grundlagen für Ihre Audit-Nachweise oder Vorfallberichte.

Achten Sie auf subtilere Lücken in Ihren Protokollen. Viele übersehen Fehler bei Protokollen, die mit Lizenzen oder Richtlinien zusammenhängen. Prüfen Sie regelmäßig, ob die Auditabdeckung konsistent ist, besonders nach Lizenzänderungen oder größeren Updates. Seien Sie zudem vorsichtig bei fehlenden Ereignissen, die tatsächlich durch Verzögerungen oder Änderungen an Administratorrichtlinien verursacht sein können und nicht durch ein fehlerhaftes Protokoll.

Wissen Sie, wann eine Eskalation sinnvoll ist. Wenn Sie Ihre Filter doppelt geprüft sowie Lizenzen und Richtlinien validiert haben und weiterhin unerklärliche Lücken im Audit feststellen, ist es nicht an der Zeit, sich weiter im Dunkeln durchzuschlagen. Dann sollten Sie Ihre Erkenntnisse zusammenstellen und einen Supportfall bei Microsoft eröffnen. Manchmal entpuppt sich, was wie ein Bedienfehler aussieht, als Problem im Backend, das nur Microsoft beheben kann.

Das sollten Sie sich außerdem anhören

Wenn Sie sich mit Unified Audit Log not working beschäftigen, bieten diese Folgen praktische Hintergründe zu Governance, Sicherheit, Automatisierung und zuverlässigem Betrieb von Microsoft 365.

• Microsoft Purview – Simply Explained — Verbindet Aufbewahrung, Compliance, Audit und Data Governance.
• Microsoft Teams Governance – Simply Explained — Erfahren Sie, warum Eigentümerschaft und Lebenszyklusregeln für die Zusammenarbeit wichtig sind.
• Microsoft Defender XDR – Simply Explained — Setzen Sie betriebliche Signale mit Erkennung und Reaktion in Beziehung.
• Conditional Access – Simply Explained — Verstehen Sie die Identitäts- und Risikokontrollen, die sicheren Zugriff ermöglichen.

Diese Episoden helfen Ihnen, die Themen des Artikels in praktische Entscheidungen für die Umsetzung zu überführen.