Windows & Server

Windows-Ereignisprotokoll (Windows Event Log)

Allgemeine Infos

Das Windows-Ereignisprotokoll (Windows Event Log) sammelt Meldungen von Betriebssystem, Diensten und Anwendungen in einem einheitlichen Format. Die klassischen Protokolle Application, Security, System und Setup werden durch Hunderte Anwendungs- und Dienstprotokolle ergänzt, etwa für PowerShell, Gruppenrichtlinien oder AppLocker. Angezeigt werden sie in der Ereignisanzeige (eventvwr.msc), gespeichert als EVTX-Dateien.

Mit Windows Vista und Windows Server 2008 hat Microsoft die Protokollierung neu aufgebaut. Die ältere Event Logging API gilt seitdem als überholt, neue Anwendungen schreiben ihre Ereignisse über Event Tracing for Windows (ETW) mit einem Manifest. Für Admins zählt vor allem: Jedes Ereignis hat eine Quelle und eine Ereignis-ID, die Basis für Fehlersuche, Überwachung und Angriffserkennung.

Zentral auswerten lassen sich die Protokolle über Windows Event Forwarding (WEF) auf einen Windows Event Collector (WEC), über die Azure Monitor Agent-Anbindung an Log Analytics bzw. Microsoft Sentinel oder über SIEM-Agenten von Drittanbietern. Abgrenzung: Das Ereignisprotokoll zeichnet nur auf, was per Überwachungsrichtlinie aktiviert ist; Sysmon oder EDR-Lösungen liefern deutlich detailliertere Daten.

Funktionsweise & Details

Die Protokollierung und Weiterleitung laufen so ab:

  1. Ereignisanbieter (Provider) schreiben Ereignisse in Kanäle; neben den Windows-Protokollen gibt es Admin-, Operational-, Analytic- und Debug-Kanäle, die letzten beiden sind standardmäßig aus.
  2. Die Überwachungsrichtlinie (Advanced Audit Policy per GPO) bestimmt, welche Sicherheitsereignisse überhaupt entstehen, etwa 4624 (Anmeldung), 4688 (Prozesserstellung) oder 1102 (Protokoll gelöscht).
  3. Größe und Verhalten der Protokolle steuern Gruppenrichtlinien oder wevtutil (z. B. wevtutil sl, wevtutil qe, wevtutil epl).
  4. Bei Windows Event Forwarding holen Abonnements Ereignisse per WinRM auf einen WEC-Server, entweder quellinitiiert (Clients per GPO konfiguriert, skaliert am besten) oder sammlerinitiiert.
  5. Für quellinitiierte Abonnements braucht der Client die Adresse des Collectors, einen laufenden WinRM-Dienst und den Netzwerkdienst in der Gruppe Ereignisprotokollleser, damit das Security-Protokoll lesbar ist.

Microsoft nennt für einen WEC-Server auf Standardhardware im Mittel rund 3.000 Ereignisse pro Sekunde über alle Abonnements.

Vorteile & Nutzen

  • Ereignis-IDs liefern bei Störungen die konkrete Ursache statt Vermutungen.
  • Sicherheitsereignisse sind Grundlage für Angriffserkennung und für Nachweise nach NIS2 oder ISO 27001.
  • Windows Event Forwarding sammelt Protokolle zentral ohne Zusatzsoftware auf den Clients.
  • Standardisierte EVTX-Dateien lassen sich mit PowerShell (Get-WinEvent) gezielt filtern und auswerten.
  • Direkte Anbindung an Log Analytics und Microsoft Sentinel über den Azure Monitor Agent.

Praxisbeispiel

Ein Dienstleister für Industriereinigung mit 220 Mitarbeitenden muss für NIS2 nachweisen, dass sicherheitsrelevante Ereignisse zentral erfasst werden. Die IT aktiviert per GPO eine erweiterte Überwachungsrichtlinie, vergrößert das Security-Protokoll und richtet einen WEC-Server mit quellinitiierten Abonnements für Server und Clients ein. Von dort leitet der Azure Monitor Agent ausgewählte Ereignisse an Microsoft Sentinel weiter. Gelöschte Protokolle (Ereignis 1102) und neue Dienste (7045) lösen jetzt einen Alarm aus.

Worauf sollte man achten?

  • Vergrößere das Security-Protokoll auf Servern deutlich, die Standardgröße überschreibt bei aktivem Audit oft schon nach Stunden ältere Einträge.
  • Konfiguriere die erweiterte Überwachungsrichtlinie bewusst; WEF kann nur weiterleiten, was lokal protokolliert wird.
  • Wähle bei WEF das kompakte Format „Events“ statt „Rendered Text“, das laut Microsoft die Datenmenge deutlich reduziert.
  • Überwache Ereignis 1102 bzw. 104 (Protokoll gelöscht), weil Angreifer damit Spuren verwischen.
  • Ergänze für die Angriffserkennung Sysmon oder ein EDR, da Standardereignisse viele Details nicht enthalten.

Lizenz & Verfügbarkeit

In allen Windows- und Windows-Server-Versionen ohne Zusatzlizenz enthalten, ebenso Windows Event Forwarding und der Windows Event Collector. Die Weiterleitung an Log Analytics oder Microsoft Sentinel wird über Azure nach Datenvolumen abgerechnet. Stand: Oktober 2026.

Fazit

Das Windows-Ereignisprotokoll ist die erste Anlaufstelle für Fehlersuche und Sicherheitsüberwachung unter Windows. Mit Windows Event Forwarding und einem SIEM wird daraus eine zentrale, auswertbare Datenquelle.

Weiterführende Links

Verwandte Artikel