Unified Audit Log werkt niet

By Mirko Peters · 2026-04-23 · Updated 2026-07-18

Los problemen met de Unified Audit Log in Microsoft 365 op aan de hand van controles op auditing, machtigingen, zoekfilters, licenties en vertragingen.

Automatically translated with AI from the original post. Read the English original

Er is weinig dat IT zo snel op scherp zet als het Microsoft 365-auditlogboek openen en… niets zien. De Unified Audit Log moet je een volledig beeld geven van de activiteiten van gebruikers en beheerders: essentieel voor incidentrespons, compliance en gewoon je gemoedsrust. Als er gegevens ontbreken, zoeken niet lukt of de exportknop eindeloos vastzit, kan je hele beveiligingsproces stilvallen.

In deze gids lopen we de belangrijkste oorzaken door waarom de unified audit log kan haperen: van ontbrekende machtigingen tot vertraagde gegevens en zelfs verborgen Microsoft-updates. Je vindt concrete stappen om alles weer werkend te krijgen, plus tips om toekomstige verrassingen te voorkomen. We gaan ook in op zaken waar niemand het over heeft, zoals licentiehiaten, configuratieconflicten en achtergrondverwerking die er op het eerste gezicht uitziet als echte storingen. Aan het eind weet je niet alleen hoe je auditproblemen oplost, maar ook hoe je je logboeken even betrouwbaar houdt als je ochtendkoffie.

Auditlogging inschakelen in Microsoft 365-apps

Auditlogging inschakelen voor Exchange Online, SharePoint, OneDrive en Teams is de eerste stap, en vaak de stap die het meest over het hoofd wordt gezien, om betrouwbare unified auditgegevens uit Microsoft 365 te krijgen. Dit doe je in het Microsoft 365-compliancecenter, dat voor de meeste organisaties inmiddels is hernoemd tot Microsoft Purview.

Voor commerciële tenants ga je naar het Microsoft Purview-portal, navigeer je naar ‘Audit’ en controleer je of auditlogging echt is ingeschakeld. Geloof het of niet, dit gebeurt niet altijd automatisch, ook niet bij nieuwere tenants. Gebruik je een klassiek compliancecenter of zit je in een overheidstenant (GCC of DOD), dan kan de interface er iets anders uitzien, maar de instellingen staan op een vergelijkbare plek onder ‘Zoeken’ of ‘Auditlogboek doorzoeken’.

Ga bij het inschakelen van unified auditlogging er niet van uit dat ‘standaard’ ‘klaar’ betekent. Nieuwe Microsoft 365-apps moeten soms opnieuw worden ingeschakeld voor volledige auditdekking. Teams of nieuwe SharePoint-sites zijn bijvoorbeeld mogelijk niet volledig opgenomen als de onderliggende services later zijn opgezet. Het is altijd slim om de loggingstatus te controleren nadat je nieuwe services hebt toegevoegd.

Onthoud: sommige omgevingen hebben meerdere stappen nodig om volledig te zijn. Gebruikersactiviteit auditen met Microsoft Purview helpt je te zien welke niveaus je hebt (Audit Standard versus Premium), wat er wordt gelogd en hoe je zeker weet dat elke cloudworkload is gedekt. Overslaan van de controle is de nummer 1-reden waarom logs ontbreken wanneer je ze het hardst nodig hebt.

Machtigingen voor audittools en toegang tot het compliancecenter

Een werkend auditlogboek draait niet alleen om de juiste schakelaars omzetten; veel hangt af van wie je bent in de wereld van Microsoft 365. Om auditlogs te openen en te doorzoeken, hebben beheerders de juiste machtigingen nodig die worden toegekend via Microsoft Purview of het Security & Compliance Center.

De onmisbare rollen zijn meestal Compliance Administrator, Audit Logs of Security Reader. Deze worden toegekend via rolgroepen in het Microsoft Purview-portal (of soms via Entra ID). Als je logs probeert op te halen en er iets stuk is of het grijs weergegeven wordt, controleer dan dubbel of je account echt lid is van de juiste groep, en of recente wijzigingen voldoende tijd hebben gehad om in de Microsoft 365-backend te synchroniseren.

Veelvoorkomende valkuilen? Mensen in de verkeerde groep plaatsen (zoals Global Reader in plaats van Compliance Administrator), vertrouwen op Entra ID-rollen zonder de Purview-instelling te doen, of niet beseffen dat sommige wijzigingen in toegang tot 24 uur kunnen duren voordat ze actief zijn. Inconsistente roltoewijzingen, of break-glass-beheerdersaccounts gebruiken die handmatige controles omzeilen, kunnen er ook toe leiden dat auditTools niet werken zoals verwacht.

Goed beheerde toegang tot audit gaat niet alleen over de deur openen; het gaat ook om goed bestuur, het verwijderen van verouderde gebruikers en regelmatige toegangscontroles. Dit wordt uitgebreid behandeld in deze gids over toegang en governance van Microsoft 365-gegevens. Strakke machtigingen helpen je onbedoelde auditlacunes te voorkomen en zorgen ervoor dat je voldoet aan je eigen beveiligingsbeleid.

Problemen met de Unified Audit Log in Microsoft 365 oplossen

Wanneer het unified audit log niet goed werkt (lege zoekresultaten, ontbrekende records of haperende exportopties), zit de oorzaak meestal dieper in je configuratie, licenties of vertragingen in de backend. Deze problemen lijken vaak op elkaar, maar hebben vaak heel andere oorzaken en oplossingen.

Voordat je support belt of een probleem escaleert, is het handig om te weten hoe ‘normaal’ eruitziet en welke stappen je kunnen helpen bepalen of er events ontbreken, je het verkeerde tijdvak bekijkt, je niet de juiste machtigingen hebt of een door Microsoft opgelegde limiet bereikt. Soms is het probleem zo simpel als een vertraagde ingestie, terwijl het in andere gevallen gaat om een subtiel licentieprobleem of een beleidswijziging die je over het hoofd hebt gezien.

In de volgende secties vind je praktische tips om hiaten te diagnosticeren, de volledigheid van logs te controleren, PowerShell- en exportproblemen te omzeilen en resultaten te filteren voor echte analyses. Als je deze stappen begrijpt, herken je de meest voorkomende en lastigste fouten in het audit log veel sneller, en los je ze ook sneller op.

Betrouwbaarheid en volledigheid: ontbrekende of onvolledige auditrecords aanpakken

• Controleer bewaarbeleid en licenties: Gaten in de data ontstaan vaak als je Microsoft 365-licenties geen verlengde bewaring ondersteunen (alleen E5 of Premium) of als de licentie van een gebruiker recent is gewijzigd. Controleer altijd of je het juiste licentieniveau hebt voor de records en de periode die je nodig hebt.
• Kijk naar ingestievertragingen: Auditlogs worden niet in realtime gevuld. Er zit een ingebouwde vertraging van 15 minuten tot enkele uren, en in zeldzame gevallen zelfs langer, bijvoorbeeld in het weekend of tijdens storingen bij Microsoft. Deze vertraging kan ervoor zorgen dat logs ontbrekend lijken, terwijl ze gewoon later binnenkomen.
• Let op throttling en exportbeperkingen: Grote tenants kunnen last krijgen van throttling, vooral als er veel exports of zoekopdrachten tegelijk draaien. Sommige acties kunnen dan ontbreken of met vertraging verschijnen als je tegen snelheidslimieten of sessielimieten aanloopt.
• Filter valse positieven eruit: Controleer of je filters op gebruiker, datum of activiteit niet per ongeluk te strak staan of verkeerd zijn ingesteld. Een te smal zoekvenster, de verkeerde gebruiker of groep, of het wegfilteren van onschadelijke ruisevents kan ervoor zorgen dat het lijkt alsof er meer kapot is dan er werkelijk is.
• Controleer op configuratieproblemen op tenantniveau: Soms kunnen tenantinstellingen rond voorwaardelijke toegang, machtigingen van service principals of zelfs compliance-bewaarbeleid het aanmaken van auditevents verstoren. Bekijk recente configuratie- en beveiligingswijzigingen om verborgen oorzaken uit te sluiten.

Het Search-UnifiedAuditLog-cmdlet gebruiken in Microsoft PowerShell

Het Search-UnifiedAuditLog-cmdlet in PowerShell is een krachtig hulpmiddel voor geavanceerde probleemoplossing. Je omzeilt het webportaal en doorzoekt de unified audit logs in Microsoft 365 rechtstreeks. Het is vooral handig voor bulkexports, het controleren van grote datumbereiken of het automatiseren van terugkerende onderzoeken.

Typische beheertaken zijn zoeken op datum, gebruiker of activiteit en het exporteren van resultaten voor diepgaande analyse. Let wel op bekende beperkingen, zoals de limiet van 50.000 records per export of throttling als je herhaaldelijk grote zoekopdrachten draait. Foutmeldingen kunnen je laten zien of het een probleem in de backend is, een portaalprobleem, of gewoon een schaallimiet in je sessie.

Er zit veel potentieel in automatisering, maar sommige bronnen, zoals PowerShell governance deep-dives, verwijzen mogelijk door naar andere materialen als inhoud is verplaatst. Officiële documentatie en fora blijven echter onmisbaar voor de nieuwste cmdlet-opties en valkuilen.

Filteren op datum, gebruiker en details bekijken tijdens het exporteren van logs

• Filter op datumbereik: Definieer altijd een specifiek tijdvak, zoals een week of een paar dagen, om de zoekresultaten te beperken en ruis te verminderen. Brede datumzoekopdrachten missen vaak events of overbelasten de exportfunctie.
• Richt je op gebruikers of activiteitstype: Gebruik user principal names of activiteitsbegrippen zodat je alleen events ophaalt waar je iets aan hebt. Zo bespaar je lange wachttijden en verklein je de kans dat je tegen de maximale grootte van de export aanloopt.
• Bekijk eventdetails voordat je exporteert: Door één logregel te openen voordat je massaal exporteert, controleer je of events worden vastgelegd zoals verwacht, met de juiste metadata.
• Exporteer in beheersbare batches: Splits je export bij grotere audits in kleinere, overlappende periodes om time-outs of onvolledige CSV-bestanden te voorkomen.

Audit-zoekopdrachten uitvoeren en unified auditgegevens exporteren

Om een audit-zoekopdracht in Microsoft 365 uit te voeren, ga je naar het Microsoft Purview-portaal en selecteer je de sectie Audit. Kies je datumbereik, gebruiker(s) en activiteitstypen om je zoekopdracht samen te stellen. Vermijd zoekopdrachten voor alle gebruikers of de volledige tenant, tenzij je ze echt nodig hebt, want die kunnen de UI en de exportengine overbelasten.

Zodra de resultaten verschijnen, kun je ze in het webportaal bekijken of exporteren naar een CSV-bestand. Let op: heel grote resultaatsets kunnen mislukken of een time-out geven, dus houd je zoekopdrachten gericht. Krijg je fouten tijdens het exporteren, probeer dan kleinere datumbereiken, of haal de auditlogs met PowerShell in batches op.

Controleer je geëxporteerde bestanden altijd op volledigheid, zowel qua kolommen als qua tijdsbestek, voordat je er conclusies aan verbindt in een onderzoek.

Vertraging in de unified auditlog en problemen met datavertraging

Een van de meest over het hoofd geziene redenen voor ‘ontbrekende’ auditgegevens? Gewoon vertraging. Auditlogs zijn niet altijd realtime. Microsoft verwerkt activiteitsgebeurtenissen in batches, waardoor het logboekitem soms lang nadat de gebruikersactie heeft plaatsgevonden pas verschijnt.

Dit kan leiden tot paniekerige supporttickets en verspilde troubleshooting, terwijl de logs gewoon traag zijn en niet kapot. Het is cruciaal om de gebruikelijke inlooptijden te begrijpen en te kunnen zien of het gaat om een normale logvertraging of om echt dataverlies of een systeemfout. In deze sectie lees je hoe die vertragingen werken en hoe je bijhoudt welke gebeurtenissen echt ontbreken (en welke alleen nog achterlopen).

Normale versus abnormale vertraging bij het verwerken van auditlogs

Unified auditlogs in Microsoft 365 verwerken gebruikers- en beheeracties meestal binnen 15 minuten tot een uur. Vertragingen tot 24 uur komen echter ook regelmatig voor, vooral tijdens onderhoud van de dienst, regionale storingen of bij bepaalde gebeurtenissen met lage prioriteit.

De officiële Microsoft-SLA stelt de bovengrens voor de beschikbaarheid van logs onder normale omstandigheden op 24 uur. Alles wat korter duurt, valt dus binnen de verwachting. Zie je auditgebeurtenissen die langer dan dat ontbreken, of lopen meerdere soorten activiteiten buiten het normale tijdsbestek achter, dan is het tijd om verder te onderzoeken.

Houd er rekening mee dat sommige diensten, zoals Teams of activiteiten van apps van derden, hun logs anders bundelen dan SharePoint of Exchange. Controleer altijd de actuele Microsoft-meldingen voordat je aanneemt dat er sprake is van een systeemfout in de logs.

Logvolledigheid in de loop van de tijd bewaken en bevestigen

• Verwachte activiteiten vastleggen als referentie: Identificeer een bekende gebruikersactie (zoals een mailboxaanmelding of een bestandsupload), noteer het tijdstip en controleer hoelang het duurt voordat de bijbehorende auditgebeurtenissen verschijnen.
• PowerShell-scripts gebruiken: Automatiseer dagelijkse controles met geplande scripts die recente logregels ophalen, tijdstippen vergelijken en afwijkingen markeren, zodat je niet afhankelijk bent van handmatige controles.
• Achterstand over meerdere dagen bijhouden: Ontbreekt een logitem, controleer dan opnieuw na 24 en 48 uur. Vertragingen lossen zich soms vanzelf op, en aanhoudende gaten in de data kunnen wijzen op knelpunten in de backend.
• Koppelen aan meldingen van gebruikers: Beweren gebruikers dat een belangrijke activiteit niet is geauditeerd, vergelijk dan hun activiteitsdatum met de exporttijdstippen om gemiste verwerking uit te sluiten voordat je een supportcase opent.

Gereedheid van auditlogs en compliancestrategie

Betrouwbare auditlogs in Microsoft 365 krijg je niet pas tijdens een incident. Organisaties hebben een plan nodig dat de hele levenscyclus dekt: licenties, bewaring, automatisering en compliancestrategie. Veel logstoringen komen voort uit eenvoudige fouten, zoals vergeten abonnementen, het niet toewijzen van rollen of niet-overeenkomende beleidsinstellingen.

Deze sectie behandelt alle belangrijke onderdelen: hoelang je logs worden bewaard (en hoe dat verschilt tussen E3, E5 en overheidsabonnementen), welke checklists je opstelling robuust maken en praktische licentietips om stille storingen te voorkomen. Je leert ook hoe Microsoft Purview en aanverwante beveiligingsmaatregelen, zoals DLP en het toepassen van vertrouwelijkheidslabels, passen in het grotere compliancebeeld.

Met cloudsamenwerking volstaat een ingeschakeld auditlogboek niet. Wat echte, duurzame gereedheid oplevert, zijn de regelmatige reviews, een strategisch beleid en het afstemmen van de technische details op je bedrijfs- en regelgevende risico's. Voor meer over de lastigere kanten van compliance en AI-gestuurde content kun je kijken naar deze uitleg over verborgen compliance drift en het besturen van Copilot met Purview. Daarin zie je waarom stabiele dashboards maar een deel van het verhaal zijn.

Bewaarbasics voor auditlogs en een praktische Microsoft 365-auditchecklist

• Wijs de juiste beheerrollen toe: Zorg dat alle benodigde audit-, compliance- en beveiligingsrollen zijn toegewezen, zoals Compliance Administrator en Audit Logs, zowel in Purview als in Entra ID.
• Controleer de licentievereisten: De standaard bewaartermijn voor audits is voor de meeste E3-tenants (commercieel) 90 dagen. E5 of Audit Premium biedt een langere bewaartermijn (1 jaar of langer), betere signalen en een aantal gebeurtenissen met hoge waarde. Controleer dubbel of alle gebruikers die dekking nodig hebben de juiste licentie hebben, vooral na wijzigingen of uitrollen van licenties op basis van groepen.
• Configureer de Purview-auditinstellingen: Controleer of auditlogging expliciet is ingeschakeld en alle kernservices omvat: Exchange, SharePoint, OneDrive, Teams en alle kritieke apps. Sla het onboarden van nieuwe services niet over.
• Controleer bewaar- en exportbeleid: Stel de bewaring in overeenstemming met je zakelijke en wettelijke eisen. Let op concurrerend Purview-beleid of bewaarblokkeringen die inconsistenties tussen services kunnen veroorzaken.
• Test en controleer de dekking regelmatig: Voer steekproefsgewijs auditzoekopdrachten uit, documenteer het verwachte bewaarvenster en exporteer maandelijks steekproeven van logs om te controleren of de gegevens aanwezig en toegankelijk zijn wanneer je ze nodig hebt.
• Overweeg extra compliancemaatregelen: Voor omgevingen met een hoog risico kun je het beheer uitbreiden met DLP, vertrouwelijkheidslabels en regelmatige reviews van toegang en eigenaarschap. Zo voorkom je auditlacunes en maak je echte incidentrespons mogelijk.

Lacunes in een van bovenstaande punten, en het vergeten dat bewaring niet oneindig is, zijn de meest voorkomende oorzaak wanneer kritieke gebeurtenissen ontbreken op het moment dat je onderzoek begint. Stem je checklist af op je exacte risico's en wettelijke verplichtingen, zodat je voorbereid en gedekt bent.

Pro-tips om de waarde van het geünificeerde auditlogboek te maximaliseren

Wanneer je met het geünificeerde auditlogboek van Microsoft 365 werkt, zijn oppervlakkige zoekopdrachten niet voldoende. Als je alles wilt vangen, zeker de postvakacties van gebruikers of beheerders, moet je die geavanceerde zoekfilters inzetten. Wees niet bang om PowerShell te gebruiken: met commando's als Search-UnifiedAuditLog kun je filteren op gebruiker, datum of activiteit en zo heel precies zoeken.

Maak ook gebruik van de exportopties. Regelmatig auditgegevens naar CSV-bestanden exporteren maakt het veel eenvoudiger om logs te vergelijken met incidenttijdlijnen. Als je wilt achterhalen wie een gevoelig bestand heeft verwijderd, of wanneer iemand onverwacht postvakmachtigingen heeft toegekend, zijn deze geëxporteerde gegevens goud waard voor je audittrails en incidentrapporten.

Let op subtielere lacunes in je logs. Veel mensen merken niet op dat logs mislukken door licentie- of beleidsgerelateerde oorzaken. Maak er een gewoonte van om consistente auditdekking te controleren, vooral na licentiewijzigingen of grote updates. Wees alert op ontbrekende gebeurtenissen die mogelijk worden veroorzaakt door vertragingen of wijzigingen in het beheerbeleid, en niet door een log dat haperen vertoont.

Weet wanneer je moet escaleren. Als je je filters hebt gecontroleerd, je licenties en beleid hebt gevalideerd en je nog steeds onverklaarbare auditlacunes ziet, is het niet het moment om in het donker te blijven worstelen. Dan is het tijd om je bevindingen op een rij te zetten en een supportcase bij Microsoft te openen. Wat op een gebruikersfout lijkt, blijkt soms een backendprobleem te zijn dat alleen zij kunnen oplossen.

Luister ook naar deze afleveringen

Als je je verdiept in Unified Audit Log werkt niet, geven deze afleveringen praktische context over governance, beveiliging, automatisering en betrouwbare Microsoft 365-operaties.

• Microsoft Purview – Simply Explained — Verbind retentie, compliance, audit en datagovernance.
• Microsoft Teams Governance – Simply Explained — Ontdek waarom eigenaarschap en levenscyclusregels belangrijk zijn voor samenwerking.
• Microsoft Defender XDR – Simply Explained — Leg operationele signalen naast detectie en respons.
• Conditional Access – Simply Explained — Begrijp de identiteits- en risicobeheersing achter veilige toegang.

Deze afleveringen helpen je het onderwerp van het artikel om te zetten in praktische implementatiebeslissingen.