# Wie man die Benutzeraktivität auf Windows-Computern überwacht

Die Verfolgung der Benutzeraktivitäten oder des Verhaltens der Mitarbeiter im Unternehmensnetzwerk verrät viel über die Mitarbeiter - ihre Anwesenheit, die An- und Abmeldezeiten, die aktiven Arbeitsstunden, den Zugriff auf kritische Dateien auf dem Dateiserver bis hin zu ungewöhnlichen Anmeldungen. Die Überwachung der Benutzeraktivitäten liefert die richtigen Beweise, um Missetäter aufzuspüren und zu verhindern, dass das Unternehmen einem potenziellen Cyberangriff zum Opfer fällt.

Im Folgenden werden die Methoden zur Erfassung und Analyse von Details über die Aktivitäten von Domänenbenutzern mit nativen Auditing-Tools und ADAudit Plus von ManageEngine, einer umfassenden Echtzeit-Active-Directory-Auditing-Lösung, verglichen.

## Mit Native AD Auditing

### Schritt 1: Aktivieren der Überwachungsrichtlinie

1. Gehen Sie zu Start → Alle Programme → Verwaltungstools.
2. Öffnen Sie die Verwaltungskonsole für Gruppenrichtlinien.
3. Gehen Sie zu Forest → Domäne → Ihre Domäne → Domänencontroller.
4. Sie können entweder ein vorhandenes Gruppenrichtlinienobjekt bearbeiten oder ein neues Objekt erstellen.
5. Navigieren Sie im Verwaltungseditor für Gruppenrichtlinien zu Computerkonfiguration → Richtlinien → Windows-Einstellungen → Sicherheitseinstellungen → Erweiterte Überwachungsrichtlinienkonfiguration → Überwachungsrichtlinien → Anmelden/Abmelden.

![ ](https://www.manageengine.com/de/active-directory-audit/how-to/images/how-to-monitor-windows-user-activity-1.png)

### Schritt 2: Anmeldung/Abmeldung aktivieren

1. Gehen Sie zurück zur Computerkonfiguration. Navigieren Sie zu Windows-Einstellungen → Sicherheitseinstellungen → Erweiterte Überwachungsrichtlinienkonfiguration → Überwachungsrichtlinie → Anmeldung/Abmeldung.
2. Aktivieren Sie dort die Erfolgs- und Misserfolgsprüfung für Anmeldungsüberwachung, Abmeldungsüberwachung und Überwachung anderer An-und Abmeldungsereignisse.
3. Öffnen Sie die Gruppenrichtlinien-Verwaltungskonsole und wählen Sie das von Ihnen bearbeitete oder erstellte GPO aus. Fügen Sie unter Sicherheitsfilterung die Benutzer hinzu, deren Anmeldungen überwacht werden sollen. Sie können auch die Anmeldungen aller Domänenbenutzer überprüfen, indem Sie “Alle Benutzer” auswählen. Um eine Gruppe von Domänenbenutzern zu überwachen, können Sie die spezifische(n) Gruppe(n) hinzufügen.

![ ](https://www.manageengine.com/de/active-directory-audit/how-to/images/how-to-monitor-windows-user-activity-2.png)

### Schritt 3: Verwenden Sie den Active Directory Event Viewer, um die Protokolle zu überprüfen

1. Öffnen Sie den Event Viewer und navigieren Sie zu Windows-Protokolle → Sicherheit.
2. Suchen Sie nach den Ereignis-IDs 4624 (Konto wurde angemeldet), 4634 (Konto wurde abgemeldet), 4647 (vom Benutzer initiierte Abmeldung), 4800 (Arbeitsstation wurde gesperrt) und 4801 (Arbeitsstation wurde entsperrt).

![ ](https://www.manageengine.com/de/active-directory-audit/how-to/images/how-to-monitor-windows-user-activity-3.png)

3. Klicken Sie auf der rechten Seite auf “Aktuelles Protokoll filtern”, um die Protokolle auf der Grundlage von Ereignis-IDs oder des Zeitraums, für den die Informationen benötigt werden, zu filtern.

![ ](https://www.manageengine.com/de/active-directory-audit/how-to/images/how-to-monitor-windows-user-activity-4.png)