Das Audit-Log in Microsoft 365: aktivieren, durchsuchen, Aufbewahrung verlängern – das Gedächtnis des Tenants

Die Frage kam sieben Monate nach dem Vorfall, und sie kam von der Aufsichtsbehörde: „Können Sie belegen, wer im März auf die Kundendatei zugegriffen hat?" Der IT-Leiter wusste, dass es ein Audit-Log gab. Er wusste auch, dass es standardmäßig aktiviert war. Was er nicht wusste: dass die Standard-Aufbewahrung 180 Tage beträgt, dass der März damit sieben Monate später Geschichte war und dass die Frage der Behörde deshalb mit „nein" beantwortet werden musste – nicht, weil nichts protokolliert worden wäre, sondern weil niemand daran gedacht hatte, das Protokoll länger als ein halbes Jahr aufzubewahren. Das Gedächtnis des Tenants hatte funktioniert. Es war nur zu kurz.

Das Unified Audit Log ist das Gedächtnis von Microsoft 365: Fast jeder Klick – die Freigabe einer Datei, der Download, die Löschung einer Mail, die Änderung einer Rolle, das Setzen eines Holds, die Frage an Copilot – wird zu einem Ereignis mit Benutzer, Zeitpunkt, Objekt und Details. Diese Ereignisse sind die Grundlage jeder Aufklärung eines Datenschutzvorfalls, jeder internen Untersuchung, jedes Nachweises gegenüber Prüfern und Behörden – und zugleich das umfassendste Verhaltensprotokoll, das ein Unternehmen über seine Beschäftigten hat. Wer es nicht liest, hat kein Gedächtnis; wer es ohne Regel liest, hat ein Betriebsratsproblem; wer es zu kurz aufbewahrt, steht wie der IT-Leiter vor der Behörde.

Dieser Artikel ist das Grundlagen-Tutorial zum Audit-Log: was drinsteht und woher es kommt, was Standard und Premium unterscheidet, wie man im Portal, per PowerShell und per API sucht, welche Ermittlungsfragen mit welchen Aktivitäten beantwortet werden und wie die Aufbewahrung von 180 Tagen auf ein Jahr, zehn Jahre oder ins SIEM verlängert wird. Der Copilot-Winkel – Ereignis „Copilot-Interaktion", Prompt-Text im Postfach, Auswertungsrahmen – hat einen eigenen Spoke: Copilot-Audit. Wo das Audit-Log im Gesamtbild von Purview sitzt, zeigt der Überblick zum Kompetenzbereich Microsoft Purview.

Was das Audit-Log ist, was drinsteht – und was Standard von Premium unterscheidet

Bevor jemand sucht, sollte er wissen, was da ist. Das Unified Audit Log ist keine Datei und kein Dienst, sondern ein Sammelbecken: Jeder Microsoft-365-Dienst schreibt seine Ereignisse hinein, jedes als eigener Datensatz mit einer Handvoll fester Felder – wer, wann, welche Aktivität, welches Objekt, von welcher IP, mit welchem Client – und einem Detailblock als JSON, der je Ereignistyp anders aussieht. Die Zahl der Ereignistypen geht in die Tausende, und sie wächst mit jedem Dienst, den Microsoft anschließt. Wer das erste Mal eine Suche ohne Filter über einen Tag laufen lässt, bekommt Zehntausende Zeilen und versteht, warum die Kunst nicht im Suchen, sondern im Fragen liegt.

Die Ereignisquellen

Exchange Online liefert Postfachereignisse – Senden, Verschieben, Löschen, Delegatenzugriffe, Regeländerungen und mit Premium den Zugriff auf einzelne Postfachelemente. SharePoint und OneDrive liefern das, was bei Datenabflüssen zählt: Freigaben und Links, Downloads, Sync-Vorgänge, Löschungen, Umbenennungen, Label-Änderungen, Berechtigungsänderungen. Teams liefert Team- und Kanaländerungen, Gastzugriffe, Besprechungsereignisse – die Chatinhalte selbst liegen im Postfach und sind Sache von eDiscovery. Entra ID liefert Verwaltungsvorgänge – Rollen, Benutzer, Anwendungen –, während die Anmeldeprotokolle in Entra selbst liegen und nur teilweise ins Audit-Log gespiegelt werden. Purview liefert alles, was Administratoren an Richtlinien, Labels, Holds und eDiscovery-Fällen tun, und Copilot seine Interaktionen. Dazu Defender, Power Platform, Viva Engage. Wer eine Ermittlungsfrage hat, fragt zuerst: In welchem Dienst ist das Ereignis entstanden? Denn danach richtet sich, welche Aktivitätsnamen zu suchen sind.

Standard vs. Premium: Dauer, Ereignisse, Bandbreite

Audit Standard ist in E3 enthalten, standardmäßig aktiviert und bewahrt Ereignisse 180 Tage auf – lange genug für die Aufklärung von Vorfällen der letzten Wochen, zu kurz für die Frage der Behörde nach dem März. Audit Premium, in E5 und E5 Compliance enthalten, ändert drei Dinge. Erstens die Dauer: standardmäßig ein Jahr, mit Aufbewahrungsrichtlinien je Datensatztyp, Benutzer oder Aktivität auch differenziert – und mit dem Zehn-Jahres-Add-on bis zu zehn Jahre. Zweitens die Ereignisse: Premium protokolliert, wann ein Benutzer ein Postfachelement gelesen hat (MailItemsAccessed), wann er gesendet hat (Send) und wonach er in Exchange und SharePoint gesucht hat (SearchQueryInitiated) – die Ereignisse, die bei kompromittierten Konten und Datenabfluss den Unterschied machen. Drittens die Bandbreite: Wer das Audit-Log per API in ein SIEM zieht, bekommt mit Premium ein Vielfaches des Durchsatzes. Für einen Mittelständler ohne SIEM ist die Dauer das entscheidende Argument; für jeden, der schon einmal einem kompromittierten Postfach nachgehen musste, sind es die Postfachereignisse.

Skizze 1: Ereignisquellen, Unified Audit Log und die drei Auswertungswege – Portal, PowerShell, API.

Die Tabelle stellt Standard und Premium gegenüber. Die Zeile „Zusätzliche Ereignisse" ist die, die bei der Aufklärung kompromittierter Konten den Unterschied macht; die Zeile „Aufbewahrung" die, an der der IT-Leiter aus dem Intro gescheitert ist.

Suchen: Portal, PowerShell, API

Es gibt drei Wege ins Audit-Log, und sie sind für drei verschiedene Situationen gebaut. Das Portal ist der Weg für den Ermittlungsfall: Im Purview-Portal unter „Audit" legt man einen Suchauftrag an – Zeitraum, Aktivitäten (aus einer Liste je Workload oder als Freitext), Benutzer, Datei, Ordner oder Site, Suchbegriffe – und bekommt eine Ergebnisliste, die sich filtern, aufklappen und als CSV exportieren lässt; große Suchen laufen als Auftrag im Hintergrund und melden sich, wenn sie fertig sind. Das ist die richtige Wahl für die Frage „wer hat die Kundendatei im letzten Monat heruntergeladen" – konkret, begrenzt, dokumentierbar. PowerShell ist der Weg für Nachweisläufe und große Mengen: Search-UnifiedAuditLog liefert Ereignisse mit dem Detailblock als JSON, in Sitzungen für Zehntausende Datensätze, wiederholbar per Skript – die richtige Wahl für den vierteljährlichen Export aller Purview-Änderungen, für die Inventur der Holds, für alles, was man in einem Jahr noch einmal genauso brauchen wird. Die API – Office 365 Management Activity API oder Microsoft Graph – ist der Weg für den Dauerbetrieb: Ereignisse fortlaufend abholen und ins SIEM oder nach Sentinel schreiben, dort korrelieren, alarmieren und länger aufbewahren. Alle drei setzen eine Audit-Rolle voraus, und alle drei stehen selbst im Audit-Log: Wer sucht, wird protokolliert.

Zwei praktische Dinge, die in jedem Projekt Fragen auslösen. Erstens die Latenz: Ereignisse erscheinen nicht sofort, sondern nach Minuten bis Stunden – für die meisten Workloads innerhalb einer Stunde, für manche länger; wer fünf Minuten nach einer Freigabe sucht und nichts findet, hat kein Problem, sondern Geduld nötig. Zweitens die Aktivitätsnamen: Sie sind englisch, technisch und nicht immer intuitiv – FileDownloaded, SharingSet, AnonymousLinkCreated, MailItemsAccessed –, und die Suche findet nur, was man richtig benennt. Die Aktivitätsliste im Portal ist deshalb der erste Anlaufpunkt, und die Tabelle im nächsten Kapitel die zweite.

Typische Ermittlungsfragen: Freigabe, Download, Löschung, Zugriff, Änderung

Die Kunst der Audit-Suche liegt in der Übersetzung: aus einer Frage in Alltagssprache die Aktivitätsnamen, den Zeitraum und das Objekt zu machen, mit denen die Suche funktioniert. Die Fragen wiederholen sich – in zwanzig Jahren habe ich vielleicht ein Dutzend Grundtypen erlebt –, und für jeden gibt es eine Handvoll Aktivitäten, die man kennen sollte. „Wer hat diese Datei freigegeben, und an wen?" heißt SharingSet, SharingInvitationCreated, AnonymousLinkCreated, SecureLinkCreated und AddedToSecureLink auf der Datei oder Site. „Wer hat heruntergeladen?" heißt FileDownloaded und für Sync-Clients FileSyncDownloadedFull, ergänzt um FileCopied und FileAccessed. „Wer hat gelöscht?" heißt FileDeleted und FileRecycled in SharePoint, für Postfächer SoftDelete, HardDelete und MoveToDeletedItems. „Wer hat auf das Postfach zugegriffen?" heißt MailboxLogin, Delegatenzugriffe und mit Premium MailItemsAccessed – das Ereignis, das bei einem kompromittierten Konto zeigt, welche Mails der Angreifer gelesen hat. „Wer hat was an Rollen, Richtlinien und Holds geändert?" heißt die Purview- und Entra-Verwaltungsereignisse. Und „was hat jemand mit Copilot gemacht?" heißt CopilotInteraction – dessen Auswertungsrahmen der Spoke zum Copilot-Audit beschreibt.

Der Ablauf ist immer derselbe, und er beginnt nicht mit der Suche, sondern mit dem Anlass: Datenschutzvorfall, Verdacht, Behördenanfrage, Austritt – dokumentiert, mit benannter Rolle, laut Betriebsvereinbarung. Dann die Frage schärfen: Objekt zuerst – welche Datei, welche Site, welches Postfach –, Zeitraum, infrage kommende Aktivitäten, und die Person zuletzt, denn eine Suche auf ein Objekt findet alle Beteiligten, eine Suche auf eine Person ist ein Verhaltensprofil. Dann suchen, im Portal oder per PowerShell, mit Export. Dann korrelieren: die Ereignisse zu einer Zeitleiste je Objekt ordnen – Freigabe, Download, Sync, Löschung –, mit IP-Adressen und Clients, ergänzt um Entra-Anmeldungen. Und am Ende ein Ergebnis mit Nachweis: die Zeitleiste als Bericht, belegt mit Ereignis-IDs, die Suchparameter dokumentiert, die Rohdaten gesichert, übergeben an Datenschutzbeauftragten, Legal oder Behörde. Wie der Alarm, der einen solchen Ablauf oft auslöst, im DLP-Betrieb entsteht, beschreibt der Spoke zu DLP im Betrieb; wie Holds gesetzt werden, bevor Beweise verschwinden, der Spoke zu Legal Hold in Microsoft 365.

Skizze 2: Der Ermittlungsablauf – Anlass und Regel, Frage schärfen, suchen, korrelieren, Ergebnis mit Nachweis – am Beispiel der Kundenliste vor der Kündigung.

Als Umsetzungshilfe die häufigsten Ermittlungsfragen mit den zugehörigen Aktivitäten, dem Workload und dem Hinweis, ob Standard reicht. Die Aktivitätsnamen sind die englischen Bezeichnungen aus dem Portal – die Suche findet nur, was man richtig benennt.

Aufbewahrung verlängern: Richtlinien, Add-on, SIEM

Die 180 Tage von Audit Standard sind fest – sie lassen sich weder verlängern noch verkürzen. Wer mehr braucht, hat drei Wege. Der erste ist Audit Premium: Mit E5 oder E5 Compliance gilt standardmäßig ein Jahr für Exchange-, SharePoint- und Entra-Ereignisse, und mit Aufbewahrungsrichtlinien lässt sich das differenzieren – nach Datensatztyp, nach Aktivität, nach Benutzer, mit Priorität, wenn mehrere greifen: ein Jahr für alles, aber zehn Jahre für Purview- und Administratoraktionen, oder auch kürzer als ein Jahr für Nutzeraktivität, wenn Betriebsrat und Datenschutz es verlangen. Der zweite Weg ist das Zehn-Jahres-Add-on, eine Zusatzlizenz je Benutzer, die Aufbewahrungsrichtlinien mit zehn Jahren erlaubt – für Nachweispflichten im GoBD-Umfeld, für regulierte Branchen, für NIS2-Nachweise. Der dritte Weg ist unabhängig von der Lizenz: der fortlaufende Export per API in ein SIEM oder nach Sentinel, wo Ereignisse so lange liegen, wie man sie dort aufbewahrt – mit dem Unterschied, dass Aufbewahrung, Zugriff und Löschung dann in der eigenen Verantwortung liegen und der Betriebsrat eine eigene Regelung für das SIEM verlangen wird.

Die Faustregel aus Projekten: ein Jahr für alles (Premium), zehn Jahre für Administrator- und Purview-Aktionen (Aufbewahrungsrichtlinie mit Add-on, wo Nachweispflichten bestehen), SIEM für Sicherheitsereignisse – und Nutzeraktivität nicht länger als der Zweck trägt. Denn je länger die Aufbewahrung, desto lauter die Frage des Betriebsrats: wozu? Für Administratoraktionen ist die Antwort einfach – Nachweis der Governance, Prüferanforderungen. Für die Frage, welche Dateien ein Sachbearbeiter vor acht Jahren heruntergeladen hat, ist sie es nicht. Wer Aufbewahrungsrichtlinien baut, baut sie deshalb nach Zweck, nicht nach Maximum – und schreibt den Zweck in die Betriebsvereinbarung. Was die Lizenzentscheidung im Detail bedeutet – E5 für alle oder gezielt für Postfächer mit Risiko –, behandelt der Spoke zur Purview-Lizenzierung.

Skizze 3: Aufbewahrung verlängern – Standard 180 Tage, Premium ein Jahr, Add-on bis zehn Jahre, SIEM beliebig; und die Zweckfrage, die mit der Dauer wächst.

Der Deutschland-Winkel: Betriebsrat, Zweckbindung und Nachweispflichten

Das Audit-Log ist aus Sicht des Betriebsrats das umfassendste Verhaltensprotokoll im Unternehmen – lückenlos, unvermeidbar, durchsuchbar. Es zeigt, wer wann welche Datei geöffnet, geteilt, gelöscht, welche Mail gesendet, welche Site besucht, welche Suche gestellt hat. Dass es standardmäßig aktiviert ist, ändert nichts an der Mitbestimmung: § 87 Abs. 1 Nr. 6 BetrVG greift für die Nutzung, und die Betriebsvereinbarung sollte drei Dinge regeln – die Zweckbindung (Aufklärung von Sicherheits- und Datenschutzvorfällen, Nachweis gegenüber Prüfern und Behörden, Erfüllung gesetzlicher Pflichten; keine Leistungs- und Verhaltenskontrolle), die Rollen (wenige benannte Personen mit Audit-Rolle, Vier-Augen bei personenbezogenen Suchen, Beteiligung des Datenschutzbeauftragten, Information oder Beteiligung des Betriebsrats je nach Anlass) und die Aufbewahrung (Dauer je Zweck, nicht Maximum – und eigene Regeln für das SIEM). Was sonst in die Vereinbarung gehört, beschreibt der Spoke zur Betriebsvereinbarung für Purview; wie die Rollen konkret geschnitten werden, der Spoke zu Rollen und RBAC im Purview-Portal.

Auf der anderen Seite stehen die Pflichten, die das Audit-Log erfüllt. Art. 32 DSGVO verlangt Nachweisbarkeit von Sicherheitsmaßnahmen, Art. 33 die Aufklärung von Vorfällen binnen 72 Stunden – ohne Audit-Log ist beides Behauptung. Für Auskunftsersuchen nach Art. 15 kann relevant werden, wer auf Daten eines Betroffenen zugegriffen hat, wie der Spoke zum Auskunftsersuchen nach Art. 15 DSGVO zeigt. Die GoBD verlangen Nachvollziehbarkeit von Änderungen an steuerrelevanten Unterlagen – Audit-Ereignisse zu Labels, Records und Löschungen sind Teil der Verfahrensdokumentation und sollten entsprechend lang aufbewahrt werden. Und NIS2 verlangt Protokollierung und Nachweis im Rahmen des Risikomanagements; die Meldefristen von 24 und 72 Stunden sind ohne funktionierendes, ausreichend lang aufbewahrtes Audit-Log nicht einzuhalten. Der Datenschutzbeauftragte ist deshalb an beiden Enden beteiligt: als Instanz, die die Aufbewahrungsdauer nach Zweck begrenzt, und als Instanz, die bei jedem Vorfall die Audit-Suche braucht. Wie immer: keine Rechtsberatung, Stand 2026 – Datenschutzbeauftragter, Betriebsrat und bei Bedarf ein Jurist gehören an den Tisch, bevor die erste Aufbewahrungsrichtlinie gesetzt oder die erste personenbezogene Suche gestartet wird.

Stolperfallen aus der Praxis

180 Tage für selbstverständlich gehalten. Die Behörde fragt nach dem März, das Log kennt nur bis September. Aufbewahrung bewusst entscheiden: Premium, Richtlinie, Add-on oder SIEM – bevor jemand fragt.

Audit-Rolle für alle Administratoren. Jeder kann jeden durchsuchen, und irgendwann exportiert einer ins Excel des Vorgesetzten. Zwei benannte Personen, Anlass, Vier-Augen, Betriebsvereinbarung.

Suche nach Person statt nach Objekt. „Was hat Herr Müller letzte Woche gemacht" ist ein Verhaltensprofil; „wer hat Datei X heruntergeladen" ist eine Ermittlung. Objekt zuerst, Person zuletzt.

Kein Postfachzugriff-Nachweis beim kompromittierten Konto. MailItemsAccessed fehlt in Standard, die Meldung geht vom Schlimmsten aus. Premium gezielt für Postfächer mit Zahlungs- und Personaldaten.

Aktivitätsnamen geraten. „Download" findet nichts, weil das Ereignis FileDownloaded heißt. Aktivitätsliste im Portal nutzen, Vorlagenskripte für die häufigen Fragen.

SIEM ohne Regelung. Das Audit-Log liegt fünf Jahre in Sentinel, und niemand hat mit dem Betriebsrat über Zugriff und Löschung dort gesprochen. Das SIEM ist ein zweiter Ort mit eigenen Regeln.

Fazit: Das Gedächtnis des Tenants – lang genug, geregelt genug

Das Unified Audit Log ist die Grundlage jeder Aufklärung, jedes Nachweises und jeder Antwort an Prüfer und Behörden – und zugleich das umfassendste Verhaltensprotokoll im Unternehmen. Es funktioniert, wenn drei Dinge stimmen: Es ist aktiviert und die Aufbewahrung ist bewusst entschieden – 180 Tage Standard, ein Jahr Premium, zehn Jahre für Administratoraktionen, SIEM für Sicherheitsereignisse; die Suche ist geübt – Portal für den Fall, PowerShell für den Nachweis, API für den Dauerbetrieb, mit den richtigen Aktivitätsnamen und dem Objekt vor der Person; und der Zugriff ist geregelt – wenige Rollen, Anlass, Vier-Augen, Betriebsvereinbarung. Wer das hat, steht nicht vor der Behörde mit „nein". Wo das Audit-Log im Gesamtbild aus DLP, eDiscovery und Copilot-Absicherung sitzt, zeigt der Purview-Überblick; den Copilot-Winkel mit seinem eigenen Auswertungsrahmen der Spoke zum Copilot-Audit.

Wenn du wissen willst, wie lange dein Tenant heute wirklich aufbewahrt, wer die Audit-Rolle hat und ob deine Postfächer mit Zahlungsdaten den Zugriff protokollieren: Die Purview-Standortbestimmung liefert genau diese Baseline – kompakt, zum Festpreis, mit Rollenkonzept, Aufbewahrungsempfehlung und Vorlagenskripten für die häufigen Ermittlungsfragen.

FAQ: Häufige Fragen zum Audit-Log in Microsoft 365

Was ist das Unified Audit Log in Microsoft 365?

Das Unified Audit Log ist das zentrale Ereignisprotokoll von Microsoft 365: Benutzer- und Administratoraktivitäten aus Exchange, SharePoint, OneDrive, Teams, Entra ID (Verwaltung), Purview, Copilot, Defender und weiteren Diensten werden als Datensätze mit Benutzer, Zeitpunkt, Aktivität, Objekt und Details erfasst. Es wird im Purview-Portal unter „Audit", per PowerShell (Search-UnifiedAuditLog) und über API für SIEM-Anbindungen ausgelesen und ist in aktuellen Tenants standardmäßig aktiviert.

Wie lange werden Audit-Ereignisse aufbewahrt?

Mit Audit Standard (Microsoft 365 E3) 180 Tage, fest. Mit Audit Premium (E5, E5 Compliance, Add-on „eDiscovery und Audit") standardmäßig ein Jahr, mit Aufbewahrungsrichtlinien differenzierbar nach Datensatztyp, Benutzer und Aktivität, und mit dem Zehn-Jahres-Add-on bis zu zehn Jahre. Unabhängig davon lassen sich Ereignisse per API in ein SIEM exportieren und dort beliebig lange aufbewahren – mit eigener Verantwortung für Zugriff und Löschung (Stand 2026).

Was ist der Unterschied zwischen Audit Standard und Audit Premium?

Drei Dinge: die Aufbewahrung (180 Tage gegenüber einem Jahr, mit Richtlinien bis zehn Jahre), der Ereignisumfang (Premium protokolliert zusätzlich den Zugriff auf Postfachelemente, das Senden und Suchanfragen in Exchange und SharePoint) und die API-Bandbreite für SIEM-Anbindungen. Für die Aufklärung kompromittierter Postfächer ist MailItemsAccessed aus Premium der entscheidende Unterschied.

Wie finde ich heraus, wer eine Datei heruntergeladen oder freigegeben hat?

Mit einer Audit-Suche im Purview-Portal: Zeitraum, die Datei oder Site als Objekt, und die Aktivitäten FileDownloaded, FileSyncDownloadedFull, FileCopied für Downloads beziehungsweise SharingSet, SharingInvitationCreated, AnonymousLinkCreated, SecureLinkCreated für Freigaben. Die Ergebnisse zeigen Benutzer, Zeitpunkt, IP und Client und lassen sich als CSV exportieren. Suche nach Objekt, nicht nach Person – und nur mit Anlass, Rolle und laut Betriebsvereinbarung.

Wer darf das Audit-Log durchsuchen?

Inhaber einer Audit-Rolle in Purview – „Audit Reader" oder „Audit Manager" beziehungsweise entsprechende Berechtigungen in Compliance-Rollengruppen; der Globale Administrator hat sie nicht automatisch. In der Praxis sollten es zwei benannte Personen sein, mit dokumentiertem Anlass für personenbezogene Suchen, Vier-Augen-Prinzip mit dem Datenschutzbeauftragten und Regeln aus der Betriebsvereinbarung. Jede Suche wird selbst protokolliert.

Muss der Betriebsrat dem Audit-Log zustimmen?

Das Audit-Log ist eine technische Einrichtung, die zur Verhaltenskontrolle geeignet ist – § 87 Abs. 1 Nr. 6 BetrVG greift für seine Nutzung, auch wenn es standardmäßig aktiviert ist. Die Betriebsvereinbarung sollte Zweckbindung (Vorfälle, Nachweise, gesetzliche Pflichten – keine Leistungskontrolle), Rollen und Anlässe für Suchen sowie die Aufbewahrungsdauer nach Zweck regeln; ein SIEM braucht eigene Regeln. Das ist Praxiserfahrung, keine Rechtsberatung (Stand 2026).

Wo fange ich mit dem Audit-Log an?

Mit einer Baseline: Aktivierung prüfen, Audit-Rolle auf zwei benannte Personen beschränken, Aufbewahrung bewusst entscheiden – Premium-Richtlinie mit einem Jahr, zehn Jahre für Administratoraktionen, wo Nachweispflichten bestehen. Dann eine Testsuche mit einer Testdatei und Vorlagenskripte für die häufigen Fragen (Freigabe, Download, Löschung, kompromittiertes Postfach). Und die Regeln in der Betriebsvereinbarung, bevor der erste echte Fall kommt.