Sign-in Logs lesen und AADSTS-Fehlercodes entschlüsseln

Die meisten öffnen die Anmeldeprotokolle erst, wenn schon jemand schreit — und scrollen dann ratlos durch rote Zeilen. Dabei ist ein Sign-in-Log keine Strafe, sondern das ehrlichste Tagebuch, das dein Tenant führt. Wer einen AADSTS-Code lesen kann, spart sich neun von zehn Support-Tickets, weil der Code dir schon verrät, an welcher Stelle die Anmeldung gestorben ist — bevor du auch nur eine Policy aufmachst.

Jeder Sign-in-Eintrag beantwortet vier Fragen — der Fehlercode zeigt, welche davon „Nein" sagte.

Was ein Sign-in-Log dir tatsächlich erzählt

Ein Anmeldeprotokoll (früher unter „Azure AD" zu finden, heute im Entra Admin Center) ist kein simples „hat geklappt / hat nicht geklappt". Jeder Eintrag protokolliert vier Dimensionen: Wer sich anmeldet, wo von (IP, Land, Gerät), wie (Auth-Methode, MFA, Client-App) und welche Conditional-Access-Policy dabei gegriffen hat. Der eigentliche Schatz liegt im Detail-Bereich eines Eintrags — dort, wo die meisten gar nicht erst hinklicken.

AADSTS-Codes entschlüsseln: das System dahinter

AADSTS steht für „Azure Active Directory Security Token Service" — der Begriff bleibt, auch wenn das Produkt längst Entra ID heißt. Die gute Nachricht: Die Codes sind nicht zufällig. Schon die ersten Ziffern grenzen das Problem auf ein Lager ein. Damit weißt du sofort, ob du den User-Hut oder den Admin-Hut aufsetzen musst.

Der Zahlenbereich des Codes verrät dir das Lager, bevor du in die Tiefe gehst.

Die Codes, die in der Praxis 80 Prozent der Tickets ausmachen:

Faustregel: 50xxx dreht sich fast immer um Authentifizierung oder den User selbst. 53xxx ist Conditional-Access-Territorium — hier hilft kein Passwort-Reset, sondern ein Blick in die Policy. Und alles im 700er-, 650er- oder 90er-Bereich ist ein App- oder Consent-Thema, das beim Admin oder Entwickler landet.

Wo die Logs liegen — und die teure Aufbewahrungsfalle

Bevor du Codes liest, musst du sie überhaupt finden. Die Anmeldeprotokolle stehen im Entra Admin Center → Überwachung & Health → Anmeldeprotokolle. Filtern kannst du nach User, Status, Zeitraum, App und Conditional Access. Klingt simpel — der Haken steckt in der Aufbewahrung, und die hängt knallhart an deiner Lizenz.

Free hält Logs 7 Tage, P1/P2 dreißig — alles darüber hinaus geht nur per Export.

Schneller als die GUI: Logs per PowerShell und KQL

Die Web-Oberfläche ist gut für den Einzelfall. Wenn du aber alle fehlgeschlagenen Anmeldungen eines Users der letzten Tage brauchst, ist das Microsoft Graph PowerShell SDK schneller. Ein Beispiel, um gezielt nach einem Fehlercode zu filtern:

Beispiel aus der Praxis

Bei der Trendforge Digital GmbH (Cloud-first Startup, Entra ID P2) häuften sich plötzlich Tickets: „Ich komme nicht mehr ins CRM rein." Der erste Reflex im Team war, MFA neu zu registrieren — half nichts. Ein Blick ins Anmeldeprotokoll zeigte für die betroffenen User durchweg den Code 53003 mit dem Hinweis auf eine Conditional-Access-Policy. Im Detail-Tab „Conditional Access" stand die schuldige Policy beim Namen: Eine neue Regel „Geräte-Compliance erzwingen" war zwei Tage zuvor scharf geschaltet worden — und die Vertriebs-Laptops waren noch gar nicht in Intune eingebunden.

Diagnose in unter fünf Minuten, ganz ohne Rätselraten: Der Code sagte „Conditional Access", das Detail-Tab nannte die Policy, und die Policy verriet die Bedingung. Statt 30 MFA-Resets gab es eine saubere Korrektur der Rollout-Gruppe. Genau dafür sind die Logs da — sie zeigen dir den Tatort, nicht nur die Leiche.

Verwandte Artikel

Häufige Fragen (FAQ)

Wie lange werden Sign-in Logs in Entra ID gespeichert?

Mit einer Free-Lizenz sieben Tage, mit Entra ID P1 oder P2 dreißig Tage. Wer länger braucht — und das brauchen die meisten — muss die Logs per Diagnostic Settings nach Log Analytics, einem Storage Account oder Event Hub exportieren. Dieser Export wirkt nur ab Einrichtung, niemals rückwirkend.

Was bedeutet der AADSTS-Fehlercode genau?

AADSTS ist das Präfix der Fehlercodes des Azure AD Security Token Service (heute Entra ID). Die nachfolgende Nummer benennt präzise den Grund des Scheiterns: 50126 ist ein falsches Passwort, 53003 eine Conditional-Access-Blockade, 700016 eine fehlende App. Der Code grenzt das Problem ein, bevor du suchst.

Wo finde ich die Anmeldeprotokolle in Entra ID?

Im Entra Admin Center unter „Überwachung & Health → Anmeldeprotokolle". Früher lag das unter „Azure Active Directory → Anmeldungen". Dort filterst du nach User, Status, Zeitraum, Anwendung und Conditional Access. Der eigentliche Mehrwert steckt im Detail-Bereich eines einzelnen Eintrags.

Warum sehe ich eine Anmeldung, an die sich der User nicht erinnert?

Mit hoher Wahrscheinlichkeit handelt es sich um eine nicht-interaktive Anmeldung — ein Token-Refresh, den eine App im Hintergrund auslöst. Diese stehen in einem eigenen Tab und machen oft das Vielfache der interaktiven Anmeldungen aus. Echte Fremdzugriffe erkennst du eher an ungewöhnlicher IP, Land oder Gerät.

Brauche ich eine Premium-Lizenz, um Logs auszuwerten?

Zum reinen Lesen der letzten sieben Tage reicht Free. Für 30 Tage Aufbewahrung, risikobasierte Auswertung über Identity Protection und komfortable Filter brauchst du P1 oder P2. Den Export nach Log Analytics kannst du aber lizenzunabhängig einrichten — das ist der günstigste Weg zu langer Aufbewahrung.

Wie unterscheide ich ein User-Problem von einem Konfigurationsfehler?

Über den Zahlenbereich des Codes. 50xxx betrifft meist Authentifizierung und User (Passwort, Sperre, MFA). 53xxx ist immer Conditional Access — das ist Konfiguration. 700xxx, 650xxx und 90xxx sind App- oder Consent-Themen. Wer das Schema kennt, weiß in Sekunden, ob er resetten oder eine Policy korrigieren muss.

Wie geht es weiter?