# So prüfen Sie, ob die Systemzeit geändert wurde

Cyber-Forensik ist auf Zeitstempel in Protokolldateien angewiesen, um eine genaue Abfolge und Korrelation von Ereignissen zu ermitteln. Dies ist eine Herausforderung, wenn Protokolldateien über verschiedene geografische Standorte hinweg zur Untersuchung von Ereignissen korreliert werden müssen. Zuverlässige Überwachung und Echtzeitwarnungen hängen von synchronisierten Zeiten in den Protokolldateien ab. Selbst die kleinste Zeitverschiebung von ein paar Sekunden könnte dazu führen, dass Sie ein verdächtiges Ereignis in Ihrem Netzwerk übersehen. Daher ist es für Administratoren unerlässlich, dass sie über alle Änderungen der Systemzeit benachrichtigt werden.

In diesem Artikel erfahren Sie, wie Sie systemeigene AD-Tools zur Überwachung von Systemzeitänderungen verwenden können. Alternativ dazu bietet Ihnen die ADAudit Plus-Lösung mit einer intuitiven grafischen Oberfläche, Analysediagrammen und vorkonfigurierten Berichten eine schnellere Möglichkeit, dies zu tun.

## Mit Native AD Auditing

### Schritt 1: Aktivieren der GPO-Überwachung

1. Starten Sie den Server Manager und öffnen Sie die Konsole Gruppenrichtlinienverwaltung (Group Policy Management Console; GPMC).
2. Erweitern Sie im linken Fensterbereich die Punkte „Forest“ und „Domänen“, um die angegebene Domäne anzuzeigen, für die Sie die Änderungen verfolgen möchten.
3. Sie können auch eine Domänenrichtlinie wählen, die für die gesamte Domäne gilt, oder ein neues GPO erstellen und es mit der Standarddomänenrichtlinie verknüpfen.
4. Klicken Sie auf „Bearbeiten“ der gewünschten Gruppenrichtlinie, um den Gruppenrichtlinien-Verwaltungseditor zu öffnen.
5. Erweitern Sie Computerkonfiguration → Richtlinien → Windows-Einstellungen → Sicherheitseinstellungen → Erweiterte Richtlinienkonfigurationen → Überwachungsrichtlinie → Systeme → Sonstige Systemereignisse.
6. Aktivieren Sie die Prüfung für die Ereignisse „Erfolg“ und „Misserfolg“. Beenden Sie die Verwaltung der Gruppenrichtlinien.

![](https://www.manageengine.com/de/active-directory-audit/how-to/images/how-to-check-system-time-change-1.png)

7. Wählen Sie in der GPMC das geänderte GPO aus, und klicken Sie im Abschnitt Sicherheit auf der rechten Seite auf „Hinzufügen“. Geben Sie „Jeder“ in das Textfeld ein und klicken Sie auf „Namen prüfen“, um den Wert zu übernehmen. Verlassen Sie die GPMC.
8. Um diese Änderungen in der gesamten Domäne durchzusetzen, führen Sie in der Konsole Ausführen den Befehl `gupdate /force` aus.

### Schritt 2: Erlauben Sie AD Auditing durch ADSI Edit

1. Gehen Sie in Ihrem Server Manager auf Tools und wählen Sie „ADSI Edit“.
2. Klicken Sie mit der rechten Maustaste auf den Punkt „ADSI Edit“ im linken Fensterbereich und wählen Sie die Option „Verbinden mit“. Daraufhin wird das Fenster Verbindungseinstellungen geöffnet.
3. Wählen Sie die Option „Standard-Namenskontext“ aus der Dropdown-Liste Einen bekannten Namenskontext auswählen.

![](https://www.manageengine.com/de/active-directory-audit/how-to/images/how-to-check-system-time-change-2.png)

4. Klicken Sie auf „OK“ und kehren Sie zum ADSI-Bearbeitungsfenster zurück. Erweitern Sie die Option „Standard-Namenskontext“ und wählen Sie den zugehörigen Unterpunkt „DC“. Klicken Sie mit der rechten Maustaste auf diesen Unterpunkt und dann auf „Eigenschaften“.
5. Gehen Sie im Fenster Eigenschaften auf die Karteikarte Sicherheit und wählen Sie „Erweitert“. Wählen Sie anschließend die Kartei Überwachung und klicken Sie auf „Hinzufügen“.

![](https://www.manageengine.com/de/active-directory-audit/how-to/images/how-to-check-system-time-change-3.png)

6. Klicken Sie auf „Prinzipal auswählen“. Daraufhin wird ein Fenster „Benutzer, Computer oder Gruppe auswählen“ angezeigt. Geben Sie „Jeder“ in das Textfeld ein und bestätigen Sie es mit „Namen prüfen“.
7. Prinzipal im Fenster Überwachungseintrag zeigt nun „Jeder“ an. Wählen Sie in der Dropdown-Liste Typ die Option „Alle“, um sowohl „erfolgreiche“ als auch „fehlgeschlagene“ Ereignisse zu prüfen.
8. Wählen Sie in der Dropdown-Liste Auswahl die Option „Dieses Objekt und alle abhängigen Objekte“. Wählen Sie im Abschnitt Berechtigungen die Option „Volle Kontrolle“.
9. Dadurch werden alle verfügbaren Kontrollkästchen aktiviert. Heben Sie die Markierung der folgenden Kontrollkästchen auf:
   1. Vollständige Kontrolle
   2. Inhalt auflisten
   3. Alle Eigenschaften lesen
   4. Berechtigungen lesen

![](https://www.manageengine.com/de/active-directory-audit/how-to/images/how-to-check-system-time-change-4.png)

### Schritt 3: Ereignisse im Event Viewer anzeigen

Sie können Ereignisse anzeigen, indem Sie im Event Viewer auf „Sicherheitsprotokolle“ zugreifen. Sie können Ihr Protokoll filtern, um nach dem folgenden Ereignis zu suchen.

**Ereignis-ID: 4616** beschreibt ein Ereignis, bei dem die Systemzeit geändert wurde.

![](https://www.manageengine.com/de/active-directory-audit/how-to/images/how-to-check-system-time-change-5.png)