Auf der Audit- und Prüfseite können Sie nach Nutzer-Protokollereignissen suchen. Dort können Sie wichtige Aktionen überprüfen, die Nutzer in ihren Konten ausgeführt haben. Dazu zählen z. B. Änderungen an Passwörtern, an Informationen zur Kontowiederherstellung (Telefonnummer, E-Mail-Adresse) und das Aktivieren der Bestätigung in zwei Schritten. Die Anmeldung über einen E-Mail-Client oder eine nicht browserbasierte Anwendung wird nur dann in diesem Bericht protokolliert, wenn es sich um eine programmatische Anmeldung aus einer Sitzung handelt, die als verdächtig eingestuft wurde.
Hinweis:
- Vor Kurzem wurden die alten Versionen von Audit-Log zu Anmeldeaktivitäten und Audit-Log für Nutzerkonten in der Datenquelle Nutzer-Protokollereignisse zusammengeführt. Weitere Informationen finden Sie im Hilfeartikel Verbesserte Auditing- und Prüfungsmöglichkeiten.
- Wenn für die letzten sechs Monate keine Daten für Nutzer-Protokollereignisse vorhanden sind, wird Nutzer-Protokollereignisse möglicherweise nicht im linken Navigationsmenü angezeigt.
Eine vollständige Liste der Dienste und Aktivitäten, die Sie untersuchen können (z. B. Google Drive oder Nutzeraktivitäten), finden Sie im Hilfeartikel Audit- und Prüftool.
Protokollereignisdaten an Google Cloud weiterleiten
Sie können zulassen, dass die Protokollereignisdaten für Google Cloud freigegeben werden. Wenn Sie die Freigabe aktivieren, werden die Daten an Cloud Logging weitergeleitet. Dort können Sie dann Ihre Protokolle abfragen und aufrufen oder festlegen, wie sie weitergeleitet und gespeichert werden sollen.
Seite „Audit und Prüfung“ öffnen
Auf Nutzer-Protokollereignisdaten zugreifen
-
Melden Sie sich in der Google Admin-Konsole an.
Melden Sie sich mit Ihrem Administratorkonto an. Dieses Konto endet nicht auf @gmail.com.
- Klicken Sie links auf Berichterstellung
Audit und Prüfung
Daten filtern
- Öffnen Sie die Protokollereignisse wie oben unter Auf Nutzer-Protokollereignisdaten zugreifen beschrieben.
- Klicken Sie auf Filter hinzufügen und wählen Sie dann ein Attribut aus.
- Wählen Sie im Pop-up-Fenster einen Operator aus
-
Optional: So erstellen Sie mehrere Filter für Ihre Suche:
- Klicken Sie auf Filter hinzufügen und wiederholen Sie Schritt 3.
- Optional: Wenn Sie einen Suchoperator hinzufügen möchten, wählen Sie über Filter hinzufügen die Option UND oder ODER aus.
- Klicken Sie auf Suchen.
Hinweis: Auf dem Tab Filter können Sie einfache Parameter- und Wertpaare einschließen, um die Suchergebnisse zu filtern. Sie können auch den Tab Tool zur Bedingungserstellung verwenden, auf dem die Filter als Bedingungen mit AND/OR-Operatoren dargestellt werden.
Attributbeschreibungen
Für diese Datenquelle können Sie bei der Suche nach Protokollereignisdaten die folgenden Attribute verwenden:
| Attribut | Beschreibung |
|---|---|
| Name der Gruppe des Akteurs |
Gruppenname des Akteurs Weitere Informationen finden Sie im Hilfeartikel Ergebnisse nach Google Groups-Gruppe filtern. So fügen Sie der Zulassungsliste Ihrer Filtergruppen eine Gruppe hinzu:
|
| Organisationseinheit des Akteurs | Organisationseinheit des Akteurs |
| Betroffener Nutzer | E-Mail-Adresse des betroffenen Nutzers |
| Art der Identitätsbestätigung* | Die Art der Identitätsbestätigung, z. B. Passwort oder Sicherheitsschlüssel. |
| Datum | Datum und Uhrzeit des Ereignisses (in der Standardzeitzone des Browsers) |
| Domain* | Die Domain, in der die Aktion stattgefunden hat |
| Adresse für E-Mail-Weiterleitung | E-Mail-Adresse, an die Gmail-Nachrichten weitergeleitet werden sollen |
|
Ereignis |
Die protokollierte Ereignisaktion, z. B. Für die Bestätigung in zwei Schritten angemeldet oder Verdächtige Anmeldung Hinweis: Für das Ereignis Abmeldung wird als Art der Anmeldung für Ereignisse des Typs Abmeldung die Option Google-Passwort angezeigt. Dies gilt auch, wenn sich der Nutzer nicht mit einem Google-Passwort, sondern mit einer anderen Anmeldeart eingeloggt hat (z. B. Exchange, Reauth, SAML oder Unbekannt). |
| IP-Adresse | Die IP-Adresse, mit der sich der Nutzer angemeldet hat. Normalerweise ist die Adresse der physische Standort des Nutzers, aber es kann auch ein Proxyserver oder eine Adresse eines virtuellen privaten Netzwerkes (VPN) sein. |
| Ist der zweite Faktor* | Wahr, wenn der Nutzer sich mit der 2-Faktor-Authentifizierung angemeldet hat Falsch, wenn sich der Nutzer nicht mit der 2-Faktor-Authentifizierung angemeldet hat. |
| Ist verdächtig* | Wahr, wenn der Anmeldeversuch verdächtig war, andernfalls false. Gilt nur für das Ereignis „login_success“ |
| Zeitpunkt der Anmeldung | Datum und Uhrzeit der Anmeldung des Nutzers |
| Art der Anmeldung |
Authentifizierungsmethode, die der Nutzer verwendet hat:
|
| Nutzer | E-Mail-Adresse des Nutzers, der die Aktion ausgeführt hat |
Protokollereignisdaten verwalten
Daten der Suchergebnisspalte verwalten
Sie können festlegen, welche Datenspalten in Ihren Suchergebnissen angezeigt werden.
- In der Suchergebnistabelle klicken Sie hierfür rechts oben auf „Spalten verwalten“
.
- Optional: Um aktuelle Spalten zu entfernen, klicken Sie auf „Entfernen“
.
- Optional: Um Spalten hinzuzufügen, klicken Sie neben Neue Spalte hinzufügen auf den Drop-down-Pfeil
und wählen Sie dann die Datenspalte aus.
Wiederholen Sie diese Schritte bei Bedarf für alle Suchabfragen. - Optional: Um die Reihenfolge der Spalten zu ändern, klicken Sie sie an den Datenspaltennamen an und ziehen sie an die gewünschte Stelle.
- Klicken Sie auf Speichern.
Suchergebnisdaten exportieren
- Klicken Sie oben in der Tabelle mit den Suchergebnissen auf Alle exportieren.
- Geben Sie einen Namen ein
Die Exportieren-Schaltfläche finden Sie unter der Suchergebnistabelle unter Aktivitätenergebnisse exportieren. - Klicken Sie auf den Namen des Exports, um sich die Daten anzusehen.
Die exportierten Daten werden in Google Tabellen geöffnet.
Regeln für die Berichterstellung erstellen
Informationen zu Regeln für die Berichterstellung erstellen und verwalten
Wann und wie lange sind Daten verfügbar?
Informationen zu Datenaufbewahrung und Zeitverzögerungen
