Schlüsselpunkte
Mit SaaS-Logs Löschvorgänge durch Administrator:innen nachverfolgen
- SaaS-Logs aktivieren: Schalten Sie die Audit-Protokollierung in Google Workspace, Microsoft 365, Salesforce, Slack und weiteren SaaS-Anwendungen ein, um nachzuvollziehen, wer wann und auf welchem Weg etwas gelöscht hat.
- Risikoreiche Löschvorgänge erkennen: Achten Sie auf geleerte Postfächer, entfernte geteilte Ablagen, gelöschte Datensätze oder bereinigte Slack-Kanäle, die den Betrieb oder die Compliance beeinträchtigen können.
- Ereignisse standardisieren und normalisieren: Erstellen Sie ein einheitliches Löschinventar, indem Sie Logs aus allen SaaS-Plattformen exportieren, kategorisieren und aufeinander abstimmen.
- Warnmeldungen und Schwellenwerte festlegen: Erkennen Sie Massenlöschungen oder privilegierte Löschvorgänge frühzeitig, indem Sie Schwellenwerte und Eskalationsregeln definieren, die riskantes Verhalten kennzeichnen.
- In Geschäftssprache berichten: Übersetzen Sie technische Löschprotokolle in verständliche Zusammenfassungen für Kund:innen und belegen Sie so Governance und Verantwortlichkeit.
- Wiederherstellbarkeit prüfen: Testen Sie Backups anhand Ihrer Vorgaben für RTO und RPO und nutzen Sie NinjaOne, um Dokumentation zu zentralisieren, Wiederherstellungstests nachzuverfolgen und Wiederherstellungsziele an SLAs auszurichten.
Administratorkonten verfügen über weitreichende Berechtigungen und ermöglichen es Techniker:innen, Systeme, Netzwerke und Server über Umgebungen hinweg zu verwalten und zu überwachen. So mächtig diese Konten auch sind: Ein einziger Fehlklick kann wichtige SaaS-Daten löschen, darunter geteilte Ablagen, Postfächer, Datensätze und den gesamten Kommunikationsverlauf.
Ohne eine saubere Dokumentation der SaaS-Logs können versehentliche Löschungen zu dauerhaftem Datenverlust führen, vor allem dann, wenn Backup- und Aufbewahrungsrichtlinien nicht aufeinander abgestimmt sind. Je nach Ausmaß des Datenverlusts drohen Compliance-Verstöße, während Techniker:innen und Kund:innen bösartige interne Aktivitäten gar nicht erst bemerken.
Stärken Sie Ihre Strategie zum Schutz von Google-Workspace-Daten mit NinjaOne.
SaaS-Audit-Protokollierung: Strategien für eine wirksame Überwachung von Löschvorgängen
SaaS-Logs liefern einen klaren Prüfpfad für Löschvorgänge, die von Administrator:innen ausgelöst wurden, und halten Techniker:innen auf dem Laufenden. Saubere SaaS-Logs beschleunigen die Ursachenanalyse und helfen Administrator:innen dabei, einzuordnen, ob eine Löschung versehentlich, bösartig oder durch eine Richtlinie bedingt war.
Proaktives IT-Management vereinfacht die Wiederherstellung nach versehentlichen Löschungen, verkürzt Ausfallzeiten und verringert rechtliche Risiken sowie mögliche Compliance-Verstöße. Zudem stärken die passenden Kennzahlen in QBRs das Vertrauen der Kund:innen und belegen die Sorgfaltspflicht von MSPs und internen IT-Abteilungen.
📌 Voraussetzungen:
- Zentrale Log-Speicherung (z. B. NinjaOne Docs, SIEM)
- Zugriff auf SaaS-Administrationskonsolen und Audit-Logs
- Definierte Compliance-Anforderungen der Kund:innen
- Eskalations-SLAs für verdächtige Löschvorgänge sind festgelegt
Strategie 1: Zugriff auf native SaaS-Logs aktivieren
Die Aktivierung der SaaS-Logs ist die Grundlage, die eine Überwachung von Löschvorgängen überhaupt erst möglich macht. Solange die Protokollierung in den SaaS-Anwendungen nicht eingeschaltet ist, lassen sich Löschungen kaum zuverlässig erkennen, Absichten nachweisen, Daten wiederherstellen oder Audits bestehen.
Ein guter erster Schritt: Aktivieren Sie die Audit-Logs für jedes SaaS-Abonnement beziehungsweise jede SaaS-Anwendung im Besitz Ihrer Kund:innen. So werden alle Ereignisse der Anwendung sauber dokumentiert und es herrscht Transparenz, falls es zu versehentlichen oder bösartigen Löschungen kommt.
Beispiele für SaaS-Anwendungen und der Weg zu ihrer Protokollierungsfunktion
- Google Workspace: Öffnen Sie die Admin-Konsole, wählen Sie Berichte > Audit und Untersuchung und anschließend Drive-Protokollereignisse oder Nutzerprotokollereignisse.
- Microsoft 365: Rufen Sie das Microsoft Purview Portal auf und aktivieren Sie das einheitliche Überwachungsprotokoll (Unified Audit Log).
- Salesforce: Aktivieren Sie das Add-on Shield Event Monitoring, um Löschvorgänge lückenlos nachzuverfolgen.
- Slack: Nutzen Sie die Audit Logs API, um gelöschte Nachrichten und Dateien zu überwachen.
Beispiel-Python-Skript zur Abfrage der Audit Logs API von Slack
Das folgende Python-Skript ruft über den Filter „action“: „file_deleted“ alle Löschereignisse ab, die von Administrator:innen ausgelöst wurden. Ersetzen Sie xoxp-your-token durch ein gültiges Slack-Enterprise-Grid-Token mit Zugriff auf die Audit Logs API.
pip install requestsimport requestsurl = "https://api.slack.com/audit/v1/logs"headers = {"Authorization": "Bearer xoxp-your-token"}params = {"action": "file_deleted"}response = requests.get(url, headers=headers, params=params)for event in response.json().get("events", []):print(event["actor"], event["action"], event["entity_name"], event["date_create"]) |
⚠️ Wichtig: Hinterlegen Sie ein gültiges Slack-Enterprise-Grid-Token, denn kostenlose oder Standard-Tarife enthalten die Audit Logs API nicht.
Strategie 2: Ein plattformübergreifendes Inventar für die Überwachung von Löschvorgängen aufbauen
Transparenz durch Logs ist der erste Schritt zu wirksamen Strategien für die Nachverfolgung von Löschvorgängen. Allerdings protokolliert und benennt jede SaaS-Plattform Löschungen auf ihre eigene Weise. Ohne Standardisierung bleiben die Daten der Anbieter fragmentiert und lassen sich nur schwer auswerten.
Festlegen, welche Löschereignisse wirklich zählen
Nicht jedes Löschereignis birgt dasselbe Risiko, und eine unselektive Überwachung verwandelt wichtige Erkenntnisse in reines Rauschen. Eine gezielte Überwachung verlagert den Fokus von breiten Zielen auf Löschungen mit großer Wirkung. So liefern Logs verwertbare Erkenntnisse und aussagekräftige Informationen für Audits und QBRs.
Deshalb ist es wichtig, zu bestimmen, welche Löschereignisse in einer Umgebung relevant sind. Behalten Sie zum Beispiel diese Vorgänge genau im Blick:
- Google Workspace: Löschung geteilter Ablagen, Leeren von Benutzerpostfächern und Entfernen von Google Groups.
- Microsoft 365: Leeren von Exchange-Postfächern, Löschen von SharePoint- oder Teams-Websites sowie Löschen von OneDrive-Ordnern.
- Salesforce: Löschen von Kundendatensätzen oder das Bereinigen ganzer Objekte.
- Slack: Löschen von Kanälen oder das Bereinigen von Nachrichten.
SaaS-Logs als CSV oder über APIs exportieren
Die meisten SaaS-Plattformen können ihre Audit-Logs als CSV und, für eine bessere Automatisierung, über APIs exportieren. Der Export macht die Daten portabel: Techniker:innen und Administrator:innen können Löschprotokolle außerhalb der jeweiligen SaaS-Plattform prüfen, teilen und sichern. Das schafft eine zentrale Sicht und vereinfacht die Nachverfolgung und Überwachung von Löschvorgängen.
💡 Hinweis: Nicht alle SaaS-Logs liefern detaillierte Einblicke in Löschvorgänge, insbesondere in niedrigeren Lizenzstufen. Unter Umständen ist eine Anreicherung der Daten mit weiteren Anwendungen nötig, um bessere Erkenntnisse zu gewinnen.
Daten in einem einheitlichen Format standardisieren
Jede Plattform hat ihre eigene Namenskonvention, und ein und dasselbe Feld kann unterschiedlich bezeichnet sein. Das führt zu Verwirrung und uneinheitlicher Auslegung. So findet sich ein Actor je nach Plattform in verschiedenen Feldern wie initiated_by oder userPrincipalName.
Ein einheitliches Schema ermöglicht plattformübergreifende Abfragen, zentralisiert die Überwachung und bringt die Daten in eine audit-fähige Liste.
Beispiel für ein Inventar von Löschereignissen
Zusammengenommen verdichten sich die Strategien aus diesem Abschnitt zu einem Dashboard, das Ereignisse aus allen SaaS-Plattformen zentral bündelt. Techniker:innen und Administrator:innen sehen damit alle wichtigen Kennzahlen auf einer einheitlichen Benutzeroberfläche.
| Plattform | Actor | Aktion | Objekt | Zeitstempel (UTC) | Methode |
| Google Drive | admin@sample | drive_deleted | Finance SharedDrive | 2025-09-25 15:22:12 | Benutzeroberfläche |
| Microsoft 365 | sysadmin@sample | mailbox_purged | Postfach John Doe | 2025-08-22 12:25:37 | API |
| Salesforce | crmadmin | customer_record_deleted | Account #32312 | 2025-09-13 16:43:56 | Benutzeroberfläche |
| Slack | itadmin | channel_deleted | #marketing-channel | 2025-09-25 09:00:00 | API |
💡 Tipp: Synchronisieren Sie die Uhren von Endpunkten und SaaS-Diensten in UTC, damit sich Zeitachsen systemübergreifend vergleichen lassen.
Strategie 3: Schwellenwerte für Warnmeldungen und Eskalation festlegen
Schwellenwerte machen aus reinem Datenrauschen verwertbare Signale und beugen Alarmmüdigkeit vor. So erkennen Techniker:innen Löschvorgänge über SaaS-Plattformen hinweg proaktiv und können schnell gegensteuern, was potenziellen Datenverlust und Ausfallzeiten verringert.
Massenlöschungen ab einem bestimmten Schwellenwert kennzeichnen
Wer Massenlöschungen ab einem bestimmten Schwellenwert kennzeichnet (z. B. > 100 Dateien in Google Drive), erkennt riskante Löschmuster schnell. Durch die frühzeitige Erkennung können Techniker:innen bösartige Löschungen eindämmen, indem sie Konten sperren und Daten wiederherstellen, und so den Umfang begrenzen, bevor er sich ausweitet.
Warnmeldungen bei risikoreichen Löschungen durch Administrator:innen auslösen
Ein kompromittiertes Administratorkonto kann enorme Auswirkungen auf Kund:innen haben. Wird etwa eine Salesforce-Kundendatenbank gelöscht, trifft das den Umsatz und die Arbeitsabläufe im Unternehmen hart. MSPs und interne IT-Abteilungen müssen alle privilegierten Löschvorgänge erfassen, kontrollieren und dokumentieren, und zwar bereits bevor Schwellenwerte überschritten werden.
Verdächtige Löschvorgänge eskalieren
Wird ein verdächtiger Löschvorgang entdeckt, leiten Schwellenwerte ungewöhnliche Aktivitäten an die richtigen Personen weiter, während routinemäßige Bereinigungen unangetastet bleiben. Diese Grenzwerte reduzieren das Rauschen und lenken die Aufmerksamkeit der Administrator:innen auf die tatsächlichen Risiken.
Die daraus entstehende Dokumentation zeigt, wer was wann geprüft hat. Das belegt Verantwortlichkeit und erzeugt einen sauberen Prüfpfad. Administrator:innen können dadurch besser beurteilen, ob eine Löschung Routine oder bösartig war, und die passenden Maßnahmen ergreifen.
Strategie 4: Rohe SaaS-Logs in Berichte für Kund:innen überführen
Nicht alle Kund:innen finden sich in komplexen Kennzahlen und Fachjargon zurecht, was die Verständigung zwischen Techniker:innen und Kund:innen erschwert. Übersetzen Sie technische Logs deshalb in verständliche Kennzahlen, mit Datenvisualisierung und einer Sprache, die beim Gegenüber ankommt.
Transparente Kommunikation schafft Vertrauen und zeigt den Wert der Service-Erbringung, wenn es zu versehentlichen oder bösartigen Löschungen kommt. Für MSPs öffnet das Türen für künftige Zusammenarbeit, und interne IT-Abteilungen gewinnen damit das Vertrauen ihrer Führungsebene.
Strategie 5: Wiederherstellbarkeit von SaaS-Backups regelmäßig prüfen
Regelmäßige Tests decken Risiken und Lücken in Backup-Strategien auf, beseitigen Engpässe und justieren Wiederherstellungsziele so, dass sie Compliance-Anforderungen erfüllen. Regelmäßige Tests von SaaS-Backups sind Pflicht, um Zuverlässigkeit nachzuweisen und die Einhaltung von Aufbewahrungsrichtlinien sicherzustellen.
Vergleichen Sie die Ergebnisse anschließend mit den dokumentierten Wiederherstellungsvorgaben wie dem Ziel des Wiederherstellungspunktes (RPO) und der Zeitvorgabe für Wiederherstellungszeit (RTO), um die tatsächliche Backup-Leistung zu bestätigen. Nutzen Sie die Leistungskennzahlen für datengestützte Maßnahmen, etwa um die Backup-Frequenz anzupassen, Runbooks zu verfeinern oder Strategien dort zu erweitern, wo die vorhandenen Werkzeuge nicht ausreichen.
Prüfen Sie SaaS-Backups quartalsweise und dokumentieren Sie die Testergebnisse, um in QBRs die getroffenen Maßnahmen begründen zu können. So bringen Sie die Erwartungen der Kund:innen mit den technischen Grenzen in Einklang und vermeiden Überraschungen, wenn ein echter Vorfall eintritt.
Kombinieren Sie die Protokollierung in Google Workspace mit der Transparenz von NinjaOne.
NinjaOne-Integrationen für die Nachverfolgung und Berichterstattung gelöschter SaaS-Dateien
Von der Ablage der Dokumentation bis zur Einhaltung der SLAs: NinjaOne ist die zentrale Drehscheibe, die einzelne Strategien zu lieferbaren Services verbindet. Diese NinjaOne-Services unterstützen Ihre Workflows rund um die Überwachung und Berichterstattung gelöschter SaaS-Dateien:
- NinjaOne Documentation. Bündeln Sie sämtliche plattformübergreifenden Löschberichte aller Kund:innen in NinjaOne Docs. Legen Sie die Dokumentation global ab oder erstellen Sie für jede Kundin und jeden Kunden eine eigene Wissensdatenbank, um Transparenz und Zugriff zu verbessern.
- Benutzerdefinierte Warnmeldungen. Erstellen Sie benutzerdefinierte Warnmeldungen, um Techniker:innen sofort über verdächtige Löschereignisse zu informieren, und planen Sie Erinnerungen für die quartalsweise Prüfung der Löschaktivitäten.
- Einheitliche SaaS-Backup-Lösung. Schützen Sie Daten aus Microsoft 365 und Google Workspace in einer einzigen, einheitlichen Konsole vor versehentlichen oder bösartigen Löschungen.
- Tool für individuelle Berichterstattung. Verwandeln Sie rohe Löschkennzahlen automatisiert in Berichte für Kund:innen. Nutzen Sie die umfangreiche Vorlagensammlung von NinjaOne, um relevante Erkenntnisse hervorzuheben und Berichte differenziert und zielgerichtet zu gestalten.
- Automatisiertes Ticketing. Verfolgen Sie Wiederherstellungstests, Eskalationen, Löschvorgänge und das IT-Asset-Management über den automatisierten Ticketing-Workflow von NinjaOne. Geben Sie Techniker:innen verwertbare Erkenntnisse an die Hand, indem Sie kontextreiche Informationen direkt in die Tickets einbetten.
Quick-Start-Guide
Hier die wichtigsten Erkenntnisse:
DataRobot User Activity Monitor
, Admin Usage Report: Liefert einen Bericht über alle von Administrator:innen ausgelösten, protokollierten Ereignisse und schafft so Transparenz über deren Aktionen.
, SaaS Self-Managed: Geeignet für Plattformen, bei denen Sie Ihre SaaS-Umgebung selbst verwalten.
Cortex XSIAM
, Administrative Aktivitäten überwachen: Verfolgen Sie alle von Administrator:innen ausgelösten Aktionen bei Warnmeldungen, Vorfällen und Live-Terminal-Sitzungen und behalten Sie deren Verhalten vollständig im Blick.
SailPoint Identity Services
, Berechtigungen auf Benutzerebene: Legen Sie innerhalb des SaaS-Managements fest, wer Administrations- oder Berichtsrechte erhält, und steuern Sie damit, wer Löschvorgänge auslösen darf.
, Audit-Berichte: Erstellen Sie über das Admin Dashboard oder die Identity Security Cloud Berichte zu administrativen Aktionen, einschließlich Löschungen.
Adobe Admin Console
, Änderungen nachverfolgen: Nutzen Sie die Admin Console, um Änderungen einschließlich Löschungen in den Creative-Cloud-Anwendungen zu überwachen und zu dokumentieren.
Power Apps & Power Automate
, PowerShell-Cmdlets: Automatisieren Sie Überwachungs- und Verwaltungsaufgaben, etwa das Nachverfolgen von Löschungen durch Administrator:innen, mit PowerShell für Power-Platform-Entwickler:innen und -Administrator:innen.
Microsoft 365
, Warnungsrichtlinien: Richten Sie Warnmeldungen für verdächtige Aktivitäten ein, etwa die automatische Weiterleitung von E-Mails oder das Anlegen von Regeln, die auf unbefugte Löschungen hindeuten können.
, Nachrichtenverfolgung: Nutzen Sie die Nachrichtenverfolgung, um von Administrator:innen ausgelöste Löschungen oder Änderungen an E-Mails zu überwachen und zu dokumentieren.
Allgemeine Empfehlungen
, Überwachung aktivieren: Stellen Sie sicher, dass die Überwachung in Ihren SaaS-Plattformen eingeschaltet ist, damit administrative Aktionen erfasst werden.
, Regelmäßige Prüfungen: Sehen Sie Audit-Logs und Berichte regelmäßig durch, um unbefugte oder verdächtige Löschungen aufzudecken.
, Warnungsrichtlinien: Konfigurieren Sie Warnungsrichtlinien, die Administrator:innen über kritische Aktionen wie Massenlöschungen oder Änderungen an Berechtigungen informieren.
SaaS-Logs exportieren und die Überwachung von Löschvorgängen stärken
Verdächtige Löschvorgänge durch Administrator:innen nachzuverfolgen ist entscheidend, um Risiken zu minimieren und sicherzustellen, dass Kund:innen regulatorische Vorgaben einhalten. Durch den Export SaaS-nativer Logs können MSPs und interne IT-Abteilungen plattformübergreifende Löschungen zentral in einer standardisierten Matrix bündeln und nachverfolgen.
Legen Sie Schwellenwerte fest, die verdächtige Löschungen wie das großflächige Entfernen von SaaS-Daten automatisiert kennzeichnen und melden. Prüfen Sie Integrität und Zuverlässigkeit der SaaS-Backups jedes Quartal und stellen Sie die Ergebnisse in QBRs vor, um transparent mit Ihren Kund:innen zu kommunizieren.
Binden Sie NinjaOne in Ihre Überwachungsprozesse ein, um Dokumentation, Berichterstattung, Ticketing und SaaS-Backup-Strategien auf einer einzigen Plattform zu zentralisieren und zu automatisieren.
Verwandte Themen:
