# Wie überwacht man Datei- und Ordnerzugriff auf Windows-Dateiservern?

Administratoren müssen aus Sicherheits- und Konformitätsgründen im Auge behalten, wer auf die Dateien und Ordner auf Ihren Dateiservern zugreift. Auch bei Untersuchungen von Datenlecks erweist es sich als äußerst hilfreich, wenn Sie wissen, wer auf Ihre Dateien zugriff.

## Natives Verfahren

Mit nativem Auditing überwachen Sie Datei- und Ordnerzugriff auf Windows-Dateiservern so:

### Schritt 1: „Objektzugriffsversuche überwachen“-Richtlinie aktivieren

1. Gruppenrichtlinienverwaltung-Konsole starten (Ausführen > gpedit.msc)
2. Neues Gruppenrichtlinienobjekt erstellen, mit der Dateiserverdomäne verknüpfen; oder vorhandenes Gruppenrichtlinienobjekt bearbeiten, das bereits mit der relevanten Domäne verknüpft wurde.
3. Wechsel zu Computerkonfiguration > Windows-Einstellungen > Sicherheitseinstellungen > Lokale Richtlinien > Überwachungsrichtlinie.
4. Unter „Überwachungsrichtlinie“ wählen Sie Objektzugriffsversuche überwachen, danach schalten Sie die Überwachung auf Erfolgreich und Fehlgeschlagen ein.

![audit-shared-folder-access-changes-security-setting-audit-object-access](https://www.manageengine.com/de/active-directory-audit/how-to/images/audit-shared-folder-access-changes-security-setting-audit-object-access.png)

### Schritt 2: Überwachung-Eintrag der jeweiligen Datei/des Ordners bearbeiten

1. Datei oder Ordner lokalisieren, bei der/dem Sie sämtliche Zugriffsversuche verfolgen möchten. Mit der rechten Maustaste darauf klicken, Eigenschaften aufrufen. Im Sicherheit-Register auf Erweitert klicken.

   ![monitor-file-and-folder-access-on-windows-file-server-security-properties](https://www.manageengine.com/de/active-directory-audit/how-to/images/monitor-file-and-folder-access-on-windows-file-server-security-properties.png)

2. In den Erweiterten Sicherheitseinstellungen wechseln Sie zum Überwachung-Register, klicken dort zum Hinzufügen eines neuen Überwachungseintrags auf Hinzufügen.

   ![advanced-security-settings-active-directory](https://www.manageengine.com/de/active-directory-audit/how-to/images/advanced-security-settings-active-directory.png)

3. Im Dialogfenster zum Überwachungseintrag für Active Directory geben Sie folgende Details ein:
   - **Prinzipal:** Geben Sie die Namen der Nutzer ein, deren Zugriff Sie überwachen möchten.
   - **Typ:** Wählen Sie den Zugriffstyp, der überwacht werden soll. Vorzugsweise überwachen Sie „Alles“ an Änderungen.
   - **Gilt für:** Hier wählen Sie, ob Sie lediglich den Zugriff auf diese Datei oder auf sämtliche Subordner und Dateien überwachen möchten.
   - **Grundlegende Berechtigungen:** Wählen Sie den Berechtigungstyp, der überwacht werden soll. Klicken Sie auf „Erweiterte Berechtigungen“, wählen Sie Berechtigungen zu „Ordner durchsuchen/Datei ausführen“, „Ordner auflisten/Daten lesen“, „Attribute lesen“ und „Erweiterte Attribute lesen“.

   ![auditing-entry-file-access-auditing](https://www.manageengine.com/de/active-directory-audit/how-to/images/auditing-entry-file-access-auditing.png)

### Schritt 3: Überwachungsprotokolle der Ereignisanzeige anzeigen

1. Wenn Nutzer auf die ausgewählte Datei/den ausgewählten Ordner zugreifen und dessen Berechtigungen ändern, wird ein Ereignisprotokoll in der Ereignisanzeige aufgezeichnet. Zum Abrufen dieses Überwachungsprotokolls rufen Sie die Ereignisanzeige auf. Unter Windows-Protokolle wählen Sie den Eintrag Sicherheit. Sämtliche Überwachungsprotokolle werden nun wie nachstehend dargestellt im mittleren Bereich angezeigt.

   ![audit-failed-access-attempts-to-shared-folder-security-windows-log](https://www.manageengine.com/de/active-directory-audit/how-to/images/audit-failed-access-attempts-to-shared-folder-security-windows-log.png)

2. Zum Filtern der Ereignisprotokolle, damit lediglich Protokolle zu Datei-/Ordnerberechtigungsänderungen angezeigt werden, wählen Sie Aktuelles Protokoll filtern … im rechten Bereich. Suchen Sie nun nach den Ereignis-IDs 4656 und 4663, die signalisieren, dass eine Datei/ein Ordner geöffnet wurde. Im Feld „Kontoname“ können Sie ablesen, wer auf die Datei zugriff, das „Protokolliert“-Feld zeigt die Zugriffszeit.

   ![monitor-file-and-folder-access-on-windows-file-server-event-properties-event4663](https://www.manageengine.com/de/active-directory-audit/how-to/images/monitor-file-and-folder-access-on-windows-file-server-event-properties-event4663.png)