Die wichtigsten Punkte
- Bestimmen Sie die genauen Ereignis-IDs und Protokollspeicherorte für relevante RDP-Aktivitäten, etwa 1149, 4624 und 4625, und aktivieren Sie die entsprechenden Protokolle.
- Legen Sie Baselines fest und erstellen Sie Alarmierungsregeln für fehlgeschlagene Anmeldungen, Verbindungen außerhalb der Geschäftszeiten und wiederholte Versuche, um Rauschen zu reduzieren und Missbrauch früh zu erkennen.
- Automatisieren Sie die Protokollerfassung mit PowerShell-Skripten, geplanten Aufgaben oder der integrierten Windows-Ereignisweiterleitung, um RDP-Logs zur Analyse an einen zentralen Ort zu senden.
Ohne ein strukturiertes Vorgehen bei der Nachverfolgung und Prüfung von Remotedesktop-Sitzungen können verdächtige Anmeldungen unbemerkt bleiben. Die Folge sind mühsame Audit-Prozesse und Compliance-Lücken. Dieser Leitfaden zeigt, wie Sie RDP-bezogene Windows-Ereignisprotokolle mit der Ereignisanzeige erfassen und auswerten. So erkennen Teams verdächtige Aktivitäten und erfüllen gleichzeitig ihre Audit-Anforderungen.
RDP-Logs prüfen: So gehen Sie in 5 Schritten vor
Stellen Sie vorab sicher, dass Sie über administrative Zugriffsrechte, aktivierte erweiterte Überwachungsrichtlinien und einen zentralen Speicherort für die exportierten RDP-Logs verfügen.
Voraussetzungen für das Abfragen von RDP-Logs
- Lokale oder Domänen-Administratorrechte, um RDP-Logs zu aktivieren und abzufragen.
- Eine erweiterte Überwachungsrichtlinie, die Anmelde- und Abmeldeereignisse in der Überwachungskategorie Anmelden/Abmelden erfasst.
- Aktivierte Betriebsprotokolle für TerminalServices‑RemoteConnectionManager und TerminalServices‑LocalSessionManager in der Ereignisanzeige.
- Ein zentraler Log-Collector, ein SIEM oder eine freigegebene Netzwerkablage zum Speichern der exportierten RDP-Logdateien.
Außerdem benötigen Sie auf jedem Endpunkt PowerShell (oder eine vergleichbare Skript-Engine) für die automatisierte Extraktion der Protokolle. Sind diese Punkte erfüllt, können Sie direkt mit dem empfohlenen Vorgehen starten.
1. Die wichtigsten RDP- und Terminaldienste-Protokolle identifizieren
Ereignisprotokolle enthalten enorme Datenmengen. Filtern Sie das Rauschen heraus und bestimmen Sie gezielt die Protokolle und Ereignis-IDs, die RDP-Aktivitäten abbilden.
| Ereignis-ID | Beschreibung |
| 1149 | Erfolgreiche RDP-Verbindungsanfrage (RemoteConnectionManager) |
| 4624 | Erfolgreiche Anmeldung (Sicherheitsprotokoll) |
| 4625 | Fehlgeschlagene Anmeldung (Sicherheitsprotokoll) |
| 4634 | Abmeldung (Sicherheitsprotokoll) |
| 4647 | Von Benutzer:innen ausgelöste Abmeldung (Sicherheitsprotokoll) |
| 21 | Sitzungsanmeldung (LocalSessionManager) |
| 22 | Start der Sitzungsshell (LocalSessionManager) |
| 24 | Sitzungstrennung (LocalSessionManager) |
| 25 | Wiederverbindung der Sitzung (LocalSessionManager) |
| 4778 | Wiederverbindung einer Remotesitzung (TerminalServices) |
| 4779 | Trennung einer Remotesitzung (TerminalServices) |
Konzentrieren Sie sich auf die wichtigsten Ereignis-IDs: 1149 (erfolgreiche Verbindung), 4624/4625 (Anmeldung erfolgreich/fehlgeschlagen), 4634/4647 (Abmeldung), 21, 22, 24, 25 (Lebenszyklus der Sitzung) sowie 4778/4779 (Wiederverbindung/Trennung).
Sorgen Sie abschließend dafür, dass die erweiterte Überwachungsrichtlinie Anmelde- und Abmeldeereignisse im Sicherheitsprotokoll aufzeichnet. Dokumentieren Sie zudem die Protokollpfade und IDs in einem Referenzblatt, damit Sie bei Untersuchungen und beim Anlegen von Alarmierungen schnell nachschlagen können.
2. Ereignisse mit PowerShell abfragen und exportieren
Mit Get‑WinEvent rufen Sie die gewünschten Ereignis-IDs und Protokolle ab und leiten die Ausgabe anschließend an Export‑Csv weiter, um die Ergebnisse als CSV-Datei für Analysen oder die Berichterstattung zu speichern. Die Get-WinEvent Parameter geben Ihnen einen Überblick, um ein eigenes Skript für beliebige Aufgaben zusammenzustellen.
Als NinjaOne-Anwender:in können Sie außerdem das fertige Skript Ereignisprotokolle mit PowerShell anzeigen nutzen. Damit lassen sich bestimmte Ereignis-IDs ausschließen und Ereignisse nach Inhalt der Meldung filtern, was umfangreiche Anpassungsmöglichkeiten eröffnet.
3. Baselines und Alarmierungsregeln festlegen
Mit realistischen Baselines und einem Fokus auf auffällige RDP-Aktivitäten erkennen und analysieren Sie gängige Angriffe effizient, etwa Credential Stuffing, Brute-Force-Versuche oder laterale Bewegungen im Netzwerk. Hier einige praxisnahe Beispiele für Alarmierungsregeln, die Sie sofort umsetzen können.
Normales RDP-Verhalten definieren
Ermitteln Sie für jedes System die typischen Benutzer:innen, die üblichen Anmeldezeiten und die erwarteten Quell-IP-Bereiche. Halten Sie außerdem Basiswerte fest, etwa die durchschnittliche Anzahl täglicher Verbindungen und die Spitzenzeiten bei Anmeldungen.
Alarmierungen auf Basis von Anomalien erstellen
Um verdächtige Aktivitäten weiter einzugrenzen, legen Sie Schwellenwerte fest: mehr als 5 fehlgeschlagene Anmeldeereignisse (4625) von derselben IP innerhalb von 10 Minuten, erfolgreiche RDP-Verbindungen (1149) außerhalb der Geschäftszeiten sowie schnelle Abfolgen von Trennung und Wiederverbindung (24 → 25) bei wechselnder Client-IP.
Alarmierungen in Ihrer Überwachungsplattform einrichten
Konfigurieren Sie Ihr SIEM oder die Alarmierungsrichtlinien in NinjaOne so, dass RDP-Aktivitäten direkt auf den verwalteten Endpunkten überwacht werden. In NinjaOne erstellen Sie eigene Alarmierungsbedingungen auf Basis bestimmter Ereignis-IDs oder vom Agenten erfasster Systemmetriken und legen passende Benachrichtigungskanäle fest (E-Mail, Ticketing, SMS oder Integrationen wie Slack).
Passen Sie die Schwellenwerte mit der Zeit an, um Fehlalarme zu reduzieren: Verfeinern Sie Bedingungen und Ausnahmen, sobald Sie normale Nutzungsmuster und Wartungsfenster kennen. Prüfen Sie ausgelöste Alarmierungen regelmäßig und aktualisieren Sie Regeln und Baselines, wenn sich Nutzungsmuster oder Infrastruktur verändern.
4. Aufbewahrungsdauer verlängern und Protokollkapazität erhöhen
Leicht übersehen: Die Standardgrößen der Ereignisprotokolle reichen für Untersuchungen oft nicht aus.
Um die Standardgröße anzupassen, verwenden Sie den Befehl wevtutil in einer Eingabeaufforderung mit erhöhten Rechten. Mit wevtutil sl (sl = set-log, ändert die Protokollkonfiguration) und dem Parameter /ms (maximale Größe in Byte) passen Sie die Konfiguration eines bestimmten Protokolls an (z. B. wevtutil sl <logname> /ms:<bytes>).
Laut Microsoft beträgt die minimale Protokollgröße 1048576 Byte (1024 KB). Protokolldateien sind zudem immer ein Vielfaches von 64 KB, jeder eingegebene Wert wird also entsprechend gerundet. Änderungen greifen sofort und bleiben auch nach einem Neustart erhalten.
Der Parameter /rt:<Retention> lässt sich wiederum auf true oder false setzen (z. B. /rt:true). Bei true stellt das System die Protokollierung ein, sobald die Protokolle ihre Kapazitätsgrenze erreicht haben. Die Daten müssen dann manuell gelöscht werden.
Mit false überschreibt das System bei Bedarf die ältesten Ereignisse.
Hinweis: Steht der Aufbewahrungsmodus des Ereignisprotokolls auf true und erreicht das Protokoll seine maximale Größe, behält Windows die vorhandenen Ereignisse bei und verwirft neu eintreffende Ereignisse. Damit keine wichtigen Sicherheits- oder Audit-Daten verloren gehen, sollten Sie die Protokollkapazität erhöhen und bei durchgehender Protokollierung die Option zum Überschreiben bei Bedarf nutzen.
5. RDP-Aktivitäten korrelieren und Berichte erstellen
Verknüpfen Sie die erfassten RDP-Ereignisse mit Benutzer-, Geräte- und IP-Daten, um aus Rohdaten verwertbare Erkenntnisse und audit-taugliche Dokumentation zu machen. So können Sie einen Wochenbericht erstellen, der erfolgreiche Verbindungen, fehlgeschlagene Versuche, Zugriffe außerhalb der Geschäftszeiten und einzelne Client-Herkünfte ausweist.
Einen ergänzenden Leitfaden finden Sie hier: Ereignisprotokollierung automatisieren für unterschiedliche Umgebungen oder Kund:innen.
Strategien für die RDP-Überwachung mit NinjaOne
NinjaOne schließt die Lücken in Ihrem Prozess zur RDP-Überwachung, indem die Plattform das Ausrollen von Überwachungsrichtlinien und das Anlegen von Alarmierungen automatisiert. So erhalten Sie eine verlässliche, prüfbare Transparenz über jede Remotedesktop-Sitzung.
Die NinjaOne-Skriptbibliothek und die zahlreichen Werkzeuge für das Richtlinienmanagement ermöglichen es Ihnen zudem, RDP-Logs zentral und mit minimalem manuellem Aufwand zu verwalten. Das sorgt für eine gleichmäßigere Sicherheitsabdeckung und setzt wertvolle Ressourcen in Ihrem IT-Stack frei.
Verwandte Themen:
- Best Practices für den Fernzugriff für MSPs und IT-Profis
- Berichte zu Systemdetails anzeigen [für NinjaOne-Anwender:innen]
- Verlauf der Remotedesktopverbindung in Windows löschen
- Überwachung von Windows-Ereignisprotokollen über mehrere Kund:innen hinweg automatisieren
- Umfassender Leitfaden: Ereignisprotokolle effizient mit PowerShell durchsuchen [Skript-Hub]
