# So verfolgen Sie Anmeldungs-/Abmeldungszeiten von Benutzern in Active Directory

Auch wenn die Anmeldungszeit in Active Directory einfach nachverfolgt werden kann, erhalten Sie wahrscheinlich eine verschiedene Anmeldungszeit für jeden Ihrer Domänencontroller. Das liegt daran, dass die AD-Domänencontroller bei Anmeldungs- und Abmeldungszeiten eine Replizierung untereinander vermeiden, da sonst eine gewaltige Menge Traffic anfallen würde. Die Benutzeranmeldungszeiten herauszufinden, it jedoch sowohl für Sicherheit als auch Produktivität von Bedeutung.

Die Überwachung von Benutzeranmeldungen kann Ihnen helfen, gefährlichen Sicherheitsbedrohungen entgegenzutreten. Falls Sie zum Beispiel sehen, dass ein Benutzer außerhalb der Geschäftszeiten für einen langen Zeitraum angemeldet bleibt, könnte es sich um eine mögliche Insider-Bedrohung handeln. Wenn Sie den Benutzer überwachen und überprüfen, ob ungewöhnliche Netzwerkaktivitäten vorliegen, können Sie einen Angriff auf Ihr Netzwerk hoffentlich verhindern. Wir können also garnicht genug betonen, wie wichtig Anmeldungsereignisse Ihrer Benutzer sind.

ADAudit Plus ist ein Audit- und Reporting-Tool für Active Directory, das Ihnen einen eigenen Bereich für die Überwachung von Anmeldungsereignissen bietet. Beim Zusammenstellen der Berichte werden Informationen aus mehreren Ereignissen in Active Directory verarbeitet — eine zentrale Lösung, mit der Ihre Auditing-Sorgen der Vergangenheit angehören. Die Berichte lassen sich mit nur wenigen Klicks erzeugen, es sind keine komplexen Vorgänge erforderlich.

## Mit nativer AD-Überwachung

### Schritt 1: Audit-Richtlinie aktivieren

- Öffnen Sie „Server-Manager“ auf Ihrem Windows-Server.
- Klicken Sie unter „Verwalten“ auf die Option „Gruppenrichtlinienmanagement“ aus, um die „Konsole für das Gruppenrichtlinienmanagement“ anzuzeigen.
- Navigieren Sie zu Wald > Domäne > Ihre Domäne > Domänencontroller.
- Sie können entweder ein bestehendes Gruppenrichtlinienobjekt bearbeiten oder ein neues erstellen.
- Im Gruppenrichtlinien-Editor: gehen Sie auf Computerkonfiguration > Windows-Einstellungen > Sicherheitseinstellungen > Lokale Richtlinien > Audit-Richtlinie.
- Wählen Sie unter „Audit-Richtlinie“ die Option „Anmeldungsereignisse überwachen“ aus und aktivieren Sie diese für „Erfolg“ und „Fehlschlag“.

![](https://www.manageengine.com/de/active-directory-audit/how-to/images/how-to-track-user-logon-logoff-time-in-active-directory-1.png)

### Schritt 2: Anmeldung/Abmeldung aktivieren

- Gehen Sie zurück auf Computerkonfiguration und navigieren Sie zu Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Audit-Richtlinienkonfiguration > Audit-Richtlinie > Anmeldung/Abmeldung.
- Konfigurieren Sie hier „Anmelden überwachen“, „Abmelden überwachen“ und „Besondere Anmeldungen überwachen“ und aktivieren Sie diese für „Erfolg“ und „Fehlschlag“.
- Öffnen Sie die Konsole für das Gruppenrichtlinienmanagement und wählen Sie die GRO aus, die bearbeitet oder erzeugt werden muss. Fügen Sie rechts unter „Sicherheitsfilter“ die Benutzer hinzu, deren Anmeldungen überwacht werden müssen. Wenn Sie alle überwachen möchten, steht auch dafür eine Funktion zur Verfügung. Wenn Sie andererseits nur einen bestimmten Personenkreis überwachen, möchten, lässt sich dafür eine Gruppe hinzufügen.

![](https://www.manageengine.com/de/active-directory-audit/how-to/images/how-to-track-user-logon-logoff-time-in-active-directory-2.png)

### Schritt 3: Überprüfung der Protokolle mit Active Directory Event Viewer

Nachdem die Anmeldungs-Audits aktiviert wurden, werden sie von Event Viewer als Ereignisse mit bestimmten Ereignis-IDs verzeichnet. Zum Anzeigen der Ereignisse öffnen Sie den Event Viewer und wechseln zu Windows-Protokolle > Sicherheit. Suchen Sie nach den Ereignis-IDs 4624 (Konto wurde angemeldet), 4634 (Konto wurde abgemeldet), 4647 (benutzerinitiierte Abmeldung), 4672 (besondere Anmeldung), 4800 (Workstation wurde gesperrt) und 4801 (Workstation wurde entsperrt).

![](https://www.manageengine.com/de/active-directory-audit/how-to/images/how-to-track-user-logon-logoff-time-in-active-directory-3.png)

Klicken Sie rechts auf „Aktuelles Protokoll filtern“, um die Protokolle nach Ereignis-ID oder Zeitrahmen zu filtern und so an die benötigten Informationen zu gelangen.

![](https://www.manageengine.com/de/active-directory-audit/how-to/images/how-to-track-user-logon-logoff-time-in-active-directory-4.png)