Monosign: Audit, Reporting und Fehlerbehebung
Was hat sich geändert
Jede Inhaltsänderung wird versioniert. Wählen Sie eine Version, um sie mit der vorherigen zu vergleichen.
Version 3 → 4
Aktualisierung5 Lektionen aktualisiert
Inhaltliche Aktualisierung. Eingeschriebene Lernende wurden benachrichtigt.
Jede Produktaktion schreibt eine Audit-Zeile. Reports → `Audit` listet diese Zeilen von neu nach alt, mit Filtern für Objekt, Akteur, Audit-Typ, Anwendung und Zeitraum. Dieselbe Liste erscheint auf der Benutzerseite als Tab `Audit`.
::shot aud-audit-list
### Was die Seite bietet
- **`Details`** öffnet eine Zeile mit ihren Daten und ihrer `Correlation Id`, dem Wert, der die Zeilen einer Anfrage verbindet.
- **`Schedule`** versendet einen Audit-Digest per E-Mail: eine Liste von Audit-Zeilen der gewählten Typen, sofort, ab einem Schwellenwert oder zeitgesteuert.
- Die Liste hat **keinen Dateiexport**. Wenn jemand Audit-Zeilen als Datei braucht, erstellen Sie einen Report-Studio-Bericht auf der Datenquelle `Audit Events`. Das nächste Modul behandelt das.
### Berechtigungen für eine Support-Rolle
Die Seite zu öffnen und die Zeilen zu lesen sind zwei verschiedene Berechtigungen. Die Seitenroute braucht `System.Management.Report.Audit`. Die Liste braucht `System.Management.User.AuditList`, und seit v2026.10 gilt das auch für `Details` einer einzelnen Zeile. Bis v2026.09 konnte jeder angemeldete Management-Benutzer eine Zeile über ihre Id öffnen. Nach einem Upgrade erhält eine eigene Support-Rolle, die nur einzelne Zeilen las, HTTP 403, bis Sie `System.Management.User.AuditList` ergänzen. Suchen Sie keine API zum Auflisten von Audits: Die API liest eine Zeile über ihre Id oder schreibt Zeilen für externe Systeme.
### Aufbewahrung
Audit-Zeilen bleiben, bis die Regel `Audit` unter System → `Data Retention` sie entfernt. Jede Regel hat `Enable` und `Remove older than N days`. Das Löschen ist endgültig: Es wird vorher nichts archiviert und nichts für Sie exportiert.
Stimmen Sie deshalb die Reihenfolge mit dem Kunden ab. Muss Compliance Nachweise länger aufbewahren als der Zeitraum der Regel, richten Sie zuerst den Export ein, zum Beispiel einen geplanten Report-Studio-Bericht auf `Audit Events`, und aktivieren Sie erst danach die Regel.
::diagram aud-retention-order
> Tipp: Halten Sie Aufbewahrungszeitraum und Exportplan im selben Übergabedokument fest. Ein Auditor fragt nach beidem.
Eine Zuweisungsliste zeigt, wer **heute** Zugriff hat. Sitzungen und Anmelde-Audits zeigen, wer sich **angemeldet** hat. Keines von beiden beantwortet die klassische Audit-Frage: *Wer hatte an einem bestimmten früheren Datum Zugriff auf diese Anwendung?* Dafür gibt es Dashboard → `Timeline`, die Seite mit dem Titel `Access Timeline`.
::diagram aud-three-questions
Die Timeline zeichnet jedes Gewähren und Entziehen von Rollen, Berechtigungen, Gruppen, Anwendungen und Ressourcen sowie Änderungen von Profilwerten als Ereignisse auf. Weil sie weiß, wann jeder Zugriff begann und endete, zeigt sie dieselben Daten in mehreren Ansichten:
| Ansicht | Wofür |
| --- | --- |
| `Events` | Die Rohliste, gefiltert nach Zeitraum, Benutzer, Quelle, Anwendung oder Ereignistyp |
| `Timeline` | Zugriff als Intervalle von gewährt bis entzogen |
| `Snapshot` | Der Stand des Zugriffs zu einem Zeitpunkt |
| `Compare` | Was zwischen zwei Daten hinzukam und wegfiel |
| `Unused` | Anwendungszugriff, mit dem sich niemand anmeldet |
| `Pinned` | Ereignisse, die Sie mit einer Untersuchungsnotiz angeheftet haben |
`Export CSV` schreibt die aktuelle Ansicht in eine Datei, bis zu 100.000 Zeilen.
::shot aud-access-timeline
### Grenzen, die der Auditor kennen muss
- Die Seite gibt es seit v2026.07. `Build history` baut Ereignisse aus den aktuellen Daten neu auf, sodass auch früherer Zugriff sichtbar wird, aber neu aufgebaute Zeilen und vor v2026.09 geschriebene Ereignisse zeigen `System` als Akteur.
- **Vor v2026.09 vorgenommene Gruppenentfernungen wurden nicht aufgezeichnet und lassen sich nicht neu aufbauen.** `Build history` bringt sie nicht zurück. Ist genau eine solche Entfernung der gesuchte Nachweis, sagen Sie das und suchen Sie andere Belege, etwa im Audit-Log.
- Für `Unused` zählen nur Anmeldungen an Anwendungen. Die Nutzung von Rollen und Berechtigungen wird nicht verfolgt.
- Keine Aufbewahrungsregel entfernt Timeline-Ereignisse, eine Lücke ist also nie die Folge einer Bereinigung.
- Wer die Seite öffnen darf, sieht den gesamten Tenant.
> Tipp: Beginnen Sie bei einer Stichtagsfrage mit `Snapshot` für das Datum und zeigen Sie dann mit `Compare` gegen heute, was sich seitdem geändert hat.
Unter Reports → `Report Studio` erstellen Sie eigene Berichte. Ein Bericht liest eine **Datenquelle**: eine der vordefinierten Quellen, etwa `Audit Events`, oder eine Datenquelle, die der Kunde unter `Custom Data Sources` zusammengestellt hat. SQL können Sie nicht eingeben, und Berichte stehen nicht über die öffentliche API bereit.
::shot aud-report-studio
### Zwei Arten von Berichten
- **`Report Builder`**: eine Tabelle mit Spalten, Filtern, Gruppierung, Aggregaten und Sortierung, dargestellt als `Table`, `Bar`, `Line` oder `Pie`.
- **`Composite Report`**: ein Dokument aus Blöcken wie Überschriften, Text, Tabellen, Diagrammen und einem KPI-Digest. Das passt für eine Management-Zusammenfassung, zum Beispiel MFA-Abdeckung neben riskanten Benutzern.
Systemvorlagen sind sofort ausführbar und lassen sich nicht bearbeiten.
### Ausführen
Ein Lauf erzeugt `CSV`, `Excel`, `PDF` oder `HTML`. Läufe werden eingereiht und im Hintergrund gerendert, die Dateien erscheinen unter `Run History`, einer Schaltfläche in der Symbolleiste von `Report Studio`. Ohne die Berechtigung, alle Berichte zu verwalten, sehen Sie nur Ihre eigenen Läufe. Dateien bleiben nicht für immer: Abgelaufene Artefakte werden entfernt.
### Personenbezogene Daten sind standardmäßig maskiert
Spalten mit personenbezogenen Daten werden maskiert. Der Builder hat einen Schalter `Unmasked PII`, der mit dem Bericht gespeichert wird. Das heißt nicht, dass jeder Lauf unmaskiert ist:
- Ob ein Lauf unmaskiert ist, wird entschieden, **wenn der Lauf eingereiht wird, anhand der Berechtigung der ausführenden Person**.
- Für einen Benutzer ohne die Berechtigung zum unmaskierten Export wird der gespeicherte Schalter ignoriert, sein Lauf ist maskiert.
- Jeder unmaskierte Lauf schreibt das Audit `REPORT_EXPORT_UNMASKED`.
Derselbe Bericht kann seinem Autor also volle Namen zeigen und einem Junior-Analysten maskierte. Das ist gewolltes Verhalten, kein Fehler. Geben Sie die Berechtigung den wenigen Personen, die sie brauchen, und prüfen Sie diesen Audit-Typ.
::diagram aud-unmasked-run
> Tipp: Teilen Sie einen Bericht mit Rollen, nicht mit Einzelpersonen, und halten Sie die Unmasked-Berechtigung aus diesen Rollen heraus, sofern der Bericht sie nicht braucht.
Eine Führungskraft, die jeden Montag dieselbe Zusammenfassung möchte, soll sich dafür nicht an Management anmelden müssen, und niemand soll sie von Hand exportieren. Ein Berichtszeitplan führt einen Report-Studio-Bericht nach Kalender aus und stellt das Ergebnis zu. Die Seitenleiste hat keinen Eintrag für Zeitpläne: Öffnen Sie den Bericht in `Report Studio` und wählen Sie `Schedule (admin)`, oder nutzen Sie `More` → `Schedules` in der Symbolleiste.
::shot aud-report-schedules
### Was ein Zeitplan enthält
- **Wiederholung**: täglich, wöchentlich oder monatlich, zu einer Uhrzeit in der eigenen Zeitzone des Zeitplans. Einen rohen Cron-Ausdruck gibt es nicht.
- **Format**: eines der Laufformate, zum Beispiel `PDF`.
- **Empfänger**: der Eigentümer und weitere Adressen.
- **Zustellung**: `Download link` oder `Email attachment`.
- Optional ein **Webhook**, der aufgerufen wird, wenn der Lauf fertig ist.
### Die Zustellung wählen
| Zustellung | Was der Empfänger erhält | Geeignet für |
| --- | --- | --- |
| `Download link` | Ein Link, der eine Management-Anmeldung verlangt | Personen mit Konto und Recht auf den Lauf |
| `Email attachment` | Die Dateien in der E-Mail, wenn sie zusammen höchstens 10 MB groß sind, sonst Links | Alle mit Postfach, auch ein externer Auditor ohne Konto |
| Webhook | Metadaten und authentifizierte URLs, nie die Berichtsdaten | Systeme, die auf einen fertigen Lauf reagieren |
Der häufige Fehler ist `Download link` für einen Empfänger, der nur eine E-Mail-Adresse hat. Diese Person kommt nicht durch die Anmeldung und sieht die Datei nie. Stellen Sie den Zeitplan auf `Email attachment` um und halten Sie den Bericht klein genug für die Grenze.
### Abonnements
Ein Benutzer mit Zugriff auf Report Studio kann einen Bericht auch für sich selbst per `Subscribe` abonnieren. Ein Abonnement sendet immer einen Link, ist immer maskiert und braucht ein Konto, es ist also kein Weg zu externen Lesern.
### Wann ein Zeitplan stoppt
Ein Zeitplan pausiert sich nach 5 aufeinanderfolgenden Fehlern, wenn sein Eigentümer deaktiviert wird oder wenn der Bericht gelöscht wird, und speichert den Grund. Sehen Sie unter `More` → `Schedules` nach, wenn jemand sagt, der Montagsbericht sei nicht angekommen.
> Tipp: Geben Sie Zeitplänen einen Eigentümer, der bleibt, etwa einen Service-Administrator, nicht den Berater, der sie eingerichtet hat.
Wenn ein Konto kompromittiert sein könnte, zählen drei Werkzeuge: die Sitzungsliste, das Passwort und eine Live-Ansicht dessen, was der Benutzer tut. Jedes hat ein Verhalten, das Sie vor dem Vorfall kennen müssen.
### Eine Sitzung finden
Management → `Sessions` zeigt `Active Sessions`. Ohne Benutzerfilter zeigt die Liste nur Sitzungen, die **in den letzten 30 Minuten gestartet oder aktualisiert** wurden. Eine Sitzung, die noch gültig, aber länger inaktiv ist, steht nicht auf dieser Seite.
Dieselbe Sitzung ist über die Seite des Benutzers sichtbar: Users → Benutzer → `Sessions` → `Active`, weil dieser Weg nach dem Benutzer filtert. Schließen Sie also nicht darauf, dass ein Benutzer keine Sitzung hat, bevor Sie dort nachgesehen haben. Sitzungen liegen in einer gemeinsamen Tabelle, das Rechenzentrum, mit dem Sie verbunden sind, spielt keine Rolle.
Von beiden Stellen aus können Sie eine Sitzung, alle Sitzungen eines Benutzers in einer Anwendung oder alle Sitzungen schließen. Das Schließen schreibt ein Abmelde-Audit und widerruft die Tokens der Sitzung.
::shot aud-active-sessions
### Eine Passwortänderung beendet keine Sitzungen
Ein neues Passwort, ob vom Benutzer geändert, von einem Administrator gesetzt oder aus einem Reset, beendet die bereits offenen Sitzungen **nicht**. Sie bleiben gültig, bis sie ablaufen oder jemand sie beendet.
Tun Sie bei einem Kompromittierungsverdacht beides: Passwort ändern **und** die Sitzungen des Benutzers beenden. Setzen Sie nur das Passwort zurück, kann das Audit-Log weiter Aktivität aus der Sitzung des Angreifers zeigen.
::diagram aud-incident-steps
Seit v2026.10 hat die Passwortrichtlinie zwei verwandte Schalter: `End Active Sessions When Locked After Failed Attempts` (standardmäßig aus) und `End Active Sessions When an Administrator Locks the Account` (standardmäßig an). Sie betreffen Sperren, nicht Passwortänderungen.
### Live Tracking
Unter Directory → Users → `Live Tracking` wählen Sie einen Benutzer und sehen dessen Audit-Ereignisse in Echtzeit eintreffen. Zwei Grenzen:
- **Die Seite speichert nichts.** Sie zeigt nur Ereignisse, die entstehen, während sie geöffnet ist. Vergangene Aktivität steht im Audit-Log.
- **Ereignisse aus einem anderen Rechenzentrum erscheinen nie.** Klären Sie in einer Umgebung mit zwei Rechenzentren, welches der Benutzer erreicht, und öffnen Sie Management dort, bevor Sie folgern, dass nichts passiert.
> Tipp: Starten Sie in einem Support-Gespräch zuerst das Tracking und bitten Sie den Benutzer dann, die Aktion zu wiederholen.