# Protokolle über die Frist hinaus verfügbar machen
Typ: Checkliste
Herkunft: microsoft-entra-m365 / monitoring-operations / microsoft-entra-log-export-sequence
Version: microsoft-entra-log-export-sequence-2026-09-13
Geprüft: 2026-09-13

ACHTUNG: Dieses Dokument ist ein Lernartefakt aus einer Schulungssequenz. Es ist kein produktives Runbook. Vor jeder Anwendung in einer realen Umgebung müssen die Schritte gegen lokale Dokumentation, Runbooks und Freigabestatus geprüft werden.

## Szenario
Nach einem Vorfall, der knapp innerhalb der 30 Tage aufgeklärt werden konnte, soll die Aufbewahrung verlängert werden. Der erste Entwurf lautet, alle vier Anmeldeprotokolle und die Überwachungsprotokolle vollständig auszuleiten.

## Schritte
1. Festlegen, welche Fragen künftig über 30 Tage hinaus beantwortbar sein müssen
2. Daraus ableiten, welche Protokollarten tatsächlich gebraucht werden
3. Das Ziel einrichten und die Ausleitung für diese Arten aktivieren
4. Prüfen, dass Daten tatsächlich ankommen, statt die Einrichtung als Beleg zu nehmen
5. Die entsprechende Entscheidung für das Protokoll von Microsoft 365 gesondert treffen
6. Eine Aufbewahrungsdauer am Ziel festlegen, damit die Menge nicht unbegrenzt wächst

## Begründung
Warum: Eine Ausleitung ohne vorher benannte Fragen wird entweder zu teuer oder zu lückenhaft. Die Auswahl der Protokollarten ist die eigentliche Entscheidung — und sie lässt sich nur treffen, wenn feststeht, was später beantwortbar sein soll.
Folgen: **+** Ein gezielter Export beantwortet die vorgesehenen Fragen dauerhaft, ohne für Token-Erneuerungen zu bezahlen. **−** Fragen, die niemand vorhergesehen hat, bleiben unbeantwortbar; die Auswahl legt fest, was man später nicht wissen kann, und dieser Teil der Entscheidung ist unsichtbar.

## Quellen
1. https://learn.microsoft.com/en-us/entra/identity/monitoring-health/reference-reports-data-retention
2. https://learn.microsoft.com/en-us/entra/identity/monitoring-health/concept-sign-ins