Wer in einem Microsoft-365-Tenant schon einmal Monate später herausfinden musste, wer wann was getan hat, kennt das Problem: Bei Compliance-Anfragen und forensischen Untersuchungen ist die Audit-Aufbewahrung oft die Frist, die niemand auf dem Schirm hat. In vielen Umgebungen, die ich betreue, geht man stillschweigend davon aus, dass das Audit-Log ohnehin alles aufzeichnet und dauerhaft vorhält. Böse wird es erst, wenn der gesuchte Eintrag längst gelöscht ist. Deshalb lohnt es sich, genauer hinzusehen, wie lange Audit-Daten standardmäßig erhalten bleiben, wie sich die Frist verlängern lässt und welche Optionen es abhängig von der Lizenz gibt.

Audit (Standard) und Audit (Premium) unterscheiden sich vor allem bei der Frist

Im Standardumfang protokolliert Audit (Standard) die wesentlichen Aktivitäten. Das gilt für alle Microsoft-365-Tenants mit einer Lizenz, die Exchange Online enthält. Die Daten werden 180 Tage aufbewahrt. Für viele Fälle genügt das, bei internen Untersuchungen oder gesetzlichen Vorgaben wird es aber schnell eng. Mit Microsoft Purview Audit (Premium) gilt seit 2024 standardmäßig eine Aufbewahrung von einem Jahr. Enthalten sind diese Premium-Funktionen in E5, in Microsoft 365 E5 Compliance und in der eigenständigen Lizenz für Audit (Premium). Für die Praxis ist vor allem relevant, dass Premium-Audit mehr Vorgangsarten erfasst (etwa MailItemsAccessed-Ereignisse, siehe Purview Audit MailItemsAccessed: Einblick nach Storm-0558), die Aufbewahrung feiner steuern lässt und längere Fristen erlaubt.

Audit log retention policies steuern die Frist pro Benutzer und Vorgang

Mit den Audit log retention policies, die Microsoft für Audit (Premium) eingeführt hat, passt ihr die Aufbewahrung gezielt für einzelne Benutzer oder Vorgangstypen an. Ihr findet sie im Microsoft Purview Portal → Lösungen → Audit → Policies. Dort legt ihr beispielsweise für besonders sensible Konten oder Vorgänge eine längere Frist fest, während für alles andere die Standardfrist bestehen bleibt. Bestimmte Record Types lassen sich auf diese Weise sogar bis zu zehn Jahre aufbewahren, sofern der Add-on-Plan für zehn Jahre lizenziert ist. Möglichkeiten und Einschränkungen beschreibt Microsoft in der Dokumentation recht ausführlich. Nach meiner Erfahrung nutzen viele Organisationen diese Richtlinien bisher nicht, entweder weil sie gar nicht davon wissen oder weil ihnen die Lizenz fehlt.

flowchart TD
  AuditStandard["Audit (Standard): 180 Tage"] --> PurviewPremium["Purview Audit (Premium): 1 Jahr"]
  PurviewPremium --> AuditPolicies["Audit log retention policies"]
  AuditPolicies --> TenYearsAddon["10 Jahre Add-on"]
  AuditPolicies --> GranularRetention["Pro Benutzer/Vorgang"]
  PurviewPremium --> MoreEvents["Mehr Vorgangsarten"]

Abbildung: Aufbewahrungsoptionen von Audit (Standard) über Audit (Premium) bis zu granularen Richtlinien.

Ein inaktives Unified Audit Log zeichnet überhaupt nichts auf

Vor allem in älteren Tenants oder nach Migrationen stößt man immer wieder auf ein deaktiviertes Unified Audit Log. Ob die Protokollierung läuft, lässt sich in der Exchange Online PowerShell schnell mit folgendem Befehl prüfen (Rolle: Compliance Administrator oder höher):

Get-AdminAuditLogConfig | FL UnifiedAuditLogIngestionEnabled

Lautet das Ergebnis „True“, werden die Aktivitäten wie gewünscht aufgezeichnet. Steht dort „False“, müsst ihr die Protokollierung zuerst aktivieren, andernfalls entstehen keinerlei Audit-Daten. Leider begegnet mir das in der Praxis regelmäßig, besonders nach automatisierten Tenant-Einrichtungen oder Migrationen durch externe Dienstleister.

Praxistipp: Kontrolliert nach Mandantenmigrationen oder nach der automatischen Lizenzzuweisung an neue Benutzer regelmäßig, ob das Audit aktiviert ist. Auf diese Weise entstehen gar nicht erst blinde Flecken.

Ein Export nach Sentinel oder Log Analytics verlängert die Aufbewahrung beliebig

Wer Audit-Daten länger speichern will oder muss, als Microsoft es vorsieht, etwa für forensische Analysen über mehrere Jahre, hat zwei Möglichkeiten: den Export nach Microsoft Sentinel oder in einen Log-Analytics-Workspace. Beide Varianten setzen eine entsprechende Konfiguration und passende Lizenzen voraus (Sentinel bzw. Log-Analytics-Kapazität). Eingerichtet wird die Weiterleitung im Purview Portal → Lösungen → Audit → Export. Anschließend stehen die Daten für beliebige Analysezeiträume bereit, einschließlich KQL-Abfragen, Alerting und automatischer Weiterverarbeitung. Für Security-Operations-Teams ist das ein Werkzeug, auf das sie kaum verzichten können, weil es die Lücken der nativen Aufbewahrung schließt.

Purview und PowerShell bieten zwei Wege durch das Audit-Log

Wer schnell an Audit-Daten kommen will, nutzt die komfortable Oberfläche im Purview Portal → Lösungen → Audit → Suche. Dort filtert ihr Aktivitäten nach Zeitraum, Benutzer, Vorgangsart und weiteren Kriterien. KQL unterstützt die Suche bislang allerdings nicht, dafür könnt ihr die Ergebnisse direkt exportieren. Wer lieber mit PowerShell arbeitet, greift zu Search-UnifiedAuditLog im Exchange-Online-PowerShell-Modul. Dafür braucht ihr das Modul Exchange Online Management und die passende Rolle. Für forensische Sonderfälle, etwa die gezielte Auswertung von Copilot-Aktivitäten, empfehle ich Copilot-Aufbewahrung und Audit: Was bleibt von Prompts übrig?. Der Artikel beschreibt ausführlich, wie Copilot-Einträge protokolliert und aufbewahrt werden.

Einen Überblick über alle Suchoptionen bietet Microsoft unter Audit search. Das ist ein guter Startpunkt, wenn die Anforderungen über das Standardportal hinausgehen.

Lange Audit-Fristen gehören auf die Agenda der Geschäftsführung

Die Audit-Aufbewahrung in Microsoft 365 betrifft weit mehr als die Compliance. Sie schützt ganz konkret vor unangenehmen Überraschungen und gehört zu jeder vernünftigen Cloud-Governance. Wer sich mit den Standardfristen zufriedengibt, bekommt spätestens bei einer längeren Untersuchung oder bei rechtlichen Anforderungen Schwierigkeiten. Prüft deshalb regelmäßig, ob die Protokollierung aktiv ist, setzt die Audit log retention policies ein, wo es die Lizenz erlaubt, und plant Exporte nach Sentinel oder Log Analytics rechtzeitig ein. Wer einmal erlebt hat, wie viel ein lückenloser Audit-Trail wert ist, gibt dem Thema eine andere Priorität und erspart sich im Ernstfall viel Ärger und Arbeit.