Ereignisprotokolle, Zeit und Beweissicherung

Im Vorfall stellt sich regelmäßig heraus, dass der interessante Zeitraum nicht mehr im Protokoll steht, dass die Uhr des Servers nicht stimmte oder dass die entscheidende Kategorie nie aufgezeichnet wurde. Alle drei Befunde entstehen lange vorher und lassen sich im Vorfall nicht beheben. Dieses Modul zeigt, was ein Windows-Server über sich erzählen kann — und die Einstellung, die nach „nichts geht verloren“ klingt und in Wahrheit dafür sorgt, dass ein voller Kanal jedes neue Ereignis verwirft.

Solide · ~30 Min · 12 Abschnitte Einführung · 11 Übungen (davon 5 Missionen)

Modul starten →

Fortschritt wird gespeichert — du kannst das Modul später jederzeit fortsetzen.

Nur den Lehrtext lesen →

Das kannst du danach

✓Den Rückblickzeitraum eines Servers messen und die Kanalgröße daran ausrichten
✓Aus Anmeldetyp und Zeitquelle beurteilen, ob ein Ereignis für dieses Konto normal ist
✓Eine Erstmaßnahme wählen, die die Ausbreitung stoppt, ohne flüchtige Beweise zu vernichten

Übungen

1. EntscheidungWas ist die richtige Schlussfolgerung?
2. EntscheidungZwei Hosts, unmögliche Reihenfolge
3. EntscheidungDienstkonto mit Logon Type 10
4. MissionWer, wann, was — Signale zuordnen
5. EntscheidungSieben Tage Baseline statt Screenshot
6. ReihenfolgeFlüchtige Spuren vor dem Reboot
7. EntscheidungWelcher nächste Schritt hat die stärkste Evidenzbasis?
8. EntscheidungSecurity-Log geleert um 02:17
9. MissionErstreaktion: Bewahren, Eingrenzen, Später
10. MissionHardening-Script: Security-Log zu klein
11. DiagnoseMission: Verdächtiger Prozess auf einem Member Server

Arbeitsartefakte

↓
Flüchtige Spuren vor dem Rebootwindows-server-observe-evidence-seq-2026-08-30 · geprüft: 2026-08-30

Quellen & Aktualität13 Primärquellen · zuletzt geprüft: 2026-09-04

Verfasst von Julian Zentgraf