{"id":910791,"date":"2026-10-23T15:50:29","date_gmt":"2026-10-23T15:50:29","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/sicherheitsereignisprotokolle-powershell-auswerten\/"},"modified":"2026-10-23T15:50:30","modified_gmt":"2026-10-23T15:50:30","slug":"sicherheitsereignisprotokolle-powershell-auswerten","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/de\/blog\/sicherheitsereignisprotokolle-powershell-auswerten\/","title":{"rendered":"Sicherheitsereignisprotokolle mit PowerShell auswerten und Brute-Force-Versuche markieren"},"content":{"rendered":"<p>Immer mehr Unternehmen r\u00fcsten ihre Sicherheit gegen Brute-Force-Angriffe auf, doch die Aufzeichnungen solcher Versuche bleiben oft unbeachtet, bis <a href=\"https:\/\/www.ninjaone.com\/de\/blog\/was-ist-credential-management-definition-und-best-practices\/\">Anmeldedaten<\/a> kompromittiert werden oder ein Konto gesperrt wird.<\/p>\n<p>IT-Administrator:innen k\u00f6nnen mit <strong>PowerShell<\/strong> <strong>Sicherheitsereignisprotokolle<\/strong> <strong>abrufen <\/strong>und auswerten, um die Abwehr ihres Unternehmens zu st\u00e4rken. Dieser Leitfaden zeigt Schritt f\u00fcr Schritt, wie Sie Brute-Force-Angriffe mit PowerShell erkennen und IP-Adressen auf eine Blacklist setzen.<\/p>\n<p><em>Einen schnellen visuellen \u00dcberblick erhalten Sie in unserem Video-Leitfaden <a href=\"https:\/\/www.ninjaone.com\/videos\/security\/how-to-use-powershell-to-parse-security-event-logs-and-flag-brute-force-attempts\/\">So werten Sie Sicherheitsereignisprotokolle mit PowerShell aus und markieren Brute-Force-Versuche<\/a><\/em><\/p>\n<h2>Sicherheitsereignisprotokolle \u00fcber PowerShell einrichten<\/h2>\n<p>Stellen Sie zun\u00e4chst sicher, dass die folgenden Voraussetzungen erf\u00fcllt sind:<\/p>\n<p>\ud83d\udccc <strong>Voraussetzungen:<\/strong><\/p>\n<ul>\n<li>Administrativer Zugriff auf lokale oder entfernte Systeme<\/li>\n<li>PowerShell 5.1+<\/li>\n<li>Windows-Sicherheits\u00fcberwachungsprotokoll per GPO aktiviert<\/li>\n<li>Zugriff auf die Windows-Registry, um den Erkennungsstatus zu markieren<\/li>\n<li>RMM-Plattform (z. B. NinjaOne) zur Bereitstellung von Skripten und Alarmierungen<\/li>\n<li><strong>Optional: <\/strong>Ereignisweiterleitung an ein SIEM oder eine zentrale Protokollierung<\/li>\n<\/ul>\n<h3>Schritt 1: \u00dcberwachung fehlgeschlagener Anmeldungen per Gruppenrichtlinie aktivieren<\/h3>\n<p>Zuerst m\u00fcssen Sie sicherstellen, dass die \u00dcberwachung auf allen Endpunkten aktiv ist. Das l\u00e4sst sich per Gruppenrichtlinie aktivieren. Danach werden sowohl erfolgreiche als auch fehlgeschlagene Anmeldeversuche mit Ereignis-IDs wie 4625 (fehlgeschlagene Anmeldung) und 4624 (erfolgreiche Anmeldung) protokolliert.<\/p>\n<p>So aktivieren Sie die \u00dcberwachung fehlgeschlagener Anmeldungen:<\/p>\n<ol>\n<li>Dr\u00fccken Sie <strong>Win + R<\/strong>, geben Sie <strong>gpmc.msc<\/strong> ein und dr\u00fccken Sie die <strong>Eingabetaste<\/strong>, um die Gruppenrichtlinienverwaltung zu \u00f6ffnen.<\/li>\n<li>Navigieren Sie zu <strong>Computerkonfiguration &gt; Richtlinien &gt; Windows-Einstellungen &gt; Sicherheitseinstellungen &gt; Erweiterte \u00dcberwachungsrichtlinienkonfiguration &gt; \u00dcberwachungsrichtlinien &gt; Anmelden\/Abmelden<\/strong>.<\/li>\n<li>\u00c4ndern Sie die Einstellung f\u00fcr Anmeldung \u00fcberwachen auf Erfolg, Fehler.<\/li>\n<\/ol>\n<p>\u26a0\ufe0f <strong>Wichtig: <\/strong>Falsche Einstellungen bei \u201eAnmeldung \u00fcberwachen\u201c k\u00f6nnen Probleme verursachen. Mehr dazu im Abschnitt <a href=\"#things-to-look-out-for\"><em>Darauf sollten Sie achten<\/em><\/a>.<\/p>\n<h3>Schritt 2: Fehlgeschlagene Anmeldeereignisse mit PowerShell auswerten<\/h3>\n<ol>\n<li>\u00d6ffnen Sie PowerShell als Administrator:in.<\/li>\n<li>Verwenden Sie die folgenden Befehle:\n<ul>\n<li>Ereignis-ID 4625 der letzten 24 Stunden auswerten:<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p style=\"padding-left: 80px;\"><strong><code>$events = Get-WinEvent -FilterHashtable @{<\/code><\/strong><br \/>\n<strong><code>LogName = 'Security'<\/code><\/strong><br \/>\n<strong><code>Id = 4625<\/code><\/strong><br \/>\n<strong><code>StartTime = (Get-Date).AddHours(-24)<\/code><\/strong><br \/>\n<strong><code>} | Select-Object TimeCreated, Message<\/code><\/strong><\/p>\n<p style=\"padding-left: 40px;\"><strong>Hinweis: <\/strong>Werden keine passenden Ereignisse gefunden, liefert der Befehl ein leeres Ergebnis zur\u00fcck.<\/p>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li>Quellen und Benutzernamen fehlgeschlagener Anmeldungen extrahieren:<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<p style=\"padding-left: 80px;\"><strong><code>$failedLogons = $events | ForEach-Object {<\/code><\/strong><\/p>\n<p style=\"padding-left: 80px;\"><strong><code>if ($_.Message -match \"(?s)Account For Which Logon Failed:.*Account Name:\\s+(\\S+).*Source Network Address:\\s+(\\S+)\") {<\/code><\/strong><\/p>\n<p style=\"padding-left: 80px;\"><strong><code>[PSCustomObject]@{<\/code><\/strong><\/p>\n<p style=\"padding-left: 80px;\"><strong><code>Time = $_.TimeCreated<\/code><\/strong><\/p>\n<p style=\"padding-left: 80px;\"><strong><code>Username = $matches[1]<\/code><\/strong><\/p>\n<p style=\"padding-left: 80px;\"><strong><code>SourceIP = $matches[2]<\/code><\/strong><\/p>\n<p style=\"padding-left: 80px;\"><strong><code>}<\/code><\/strong><\/p>\n<p style=\"padding-left: 80px;\"><strong><code>}<\/code><\/strong><\/p>\n<p style=\"padding-left: 80px;\"><strong><code>}<\/code><\/strong><\/p>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li>In CSV exportieren:<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<p style=\"padding-left: 80px;\"><strong><code>$failedLogons | Export-Csv \"C:\\Reports\\FailedLogons.csv\" -NoTypeInformation<\/code><\/strong><\/p>\n<h3>Schritt 3: Brute-Force-Muster anhand von Schwellenwerten erkennen<\/h3>\n<p>Sobald Sie Ereignisprotokolle auswerten k\u00f6nnen, lassen sich Muster erkennen und Brute-Force-Schwellenwerte festlegen, um Ihre Sicherheit zu erh\u00f6hen. Verwenden Sie daf\u00fcr in PowerShell die folgenden Befehle:<\/p>\n<p>Nach Quell-IP oder Benutzername gruppieren und z\u00e4hlen:<\/p>\n<p><strong><code>$grouped = $failedLogons | Group-Object SourceIP | Where-Object { $_.Count -ge 10 }<\/code><\/strong><br \/>\n<strong><code>$grouped | ForEach-Object {<\/code><\/strong><br \/>\n<strong><code>Write-Output \"Potential brute-force from $($_.Name) with $($_.Count) attempts\"<\/code><\/strong><br \/>\n<strong><code>}<\/code><\/strong><\/p>\n<p>Dieses Skript analysiert fehlgeschlagene Anmeldeereignisse auf einem einzelnen Computer, gruppiert sie nach Quell-IP und meldet jede IP mit 10 oder mehr fehlgeschlagenen Versuchen als m\u00f6glichen Brute-Force-Angriff.<\/p>\n<p><strong>Hinweis: <\/strong>Der Schwellenwert in dieser Zeile ist anpassbar. Die Zahl hinter Count -ge legt fest, ab wie vielen fehlgeschlagenen Versuchen eine Brute-Force-Alarmierung ausgel\u00f6st wird.<\/p>\n<p>\ud83d\udca1 <strong>Tipp: <\/strong>Alternativ k\u00f6nnen Sie nach Benutzername gruppieren, um gezielte Angriffe auf einzelne Konten zu erkennen:<\/p>\n<p><strong><code>$groupedUsers = $failedLogons | Group-Object Username | Where-Object { $_.Count -ge 10 }<\/code><\/strong><\/p>\n<p>Die Schwellenwerte lassen sich an die eigene Risikobereitschaft anpassen (z. B. 5+ innerhalb von 10 Minuten).<\/p>\n<h3>Schritt 4: Erkennung in die Registry und in Protokolle schreiben, die \u00fcber die Eingabeaufforderung abrufbar sind<\/h3>\n<p>In Schritt 4 geht es darum, ausgewertete Ereignisse mit dem RMM und mit Protokollen zu verkn\u00fcpfen, die \u00fcber die Eingabeaufforderung abrufbar sind, f\u00fcr mehr Transparenz und eine einfachere Behebung. Mit den folgenden Schl\u00fcsseln k\u00f6nnen Sie Alarmierungen in NinjaOne ausl\u00f6sen oder den Netzwerkzugriff automatisiert deaktivieren:<\/p>\n<p>Registry-Markierung f\u00fcr RMM oder manuelle Pr\u00fcfung:<\/p>\n<p><strong><code>New-Item -Path \"HKLM:\\SOFTWARE\\Org\\SecurityAlerts\" -Force<\/code><\/strong><br \/>\n<strong><code>Set-ItemProperty -Path \"HKLM:\\SOFTWARE\\Org\\SecurityAlerts\" -Name \"LastBruteForceDetected\" -Value (Get-Date).ToString(\"u\")<\/code><\/strong><br \/>\n<strong><code>Set-ItemProperty -Path \"HKLM:\\SOFTWARE\\Org\\SecurityAlerts\" -Name \"OffendingIP\" -Value $grouped[0].Name<\/code><\/strong><\/p>\n<p>Pr\u00fcfung des Erkennungsstatus \u00fcber die Eingabeaufforderung:<\/p>\n<p><strong><code>reg query HKLM\\SOFTWARE\\Org\\SecurityAlerts<\/code><\/strong><\/p>\n<h2 id=\"things-to-look-out-for\">\u26a0\ufe0f Darauf sollten Sie achten<\/h2>\n<table>\n<tbody>\n<tr>\n<td><strong>Risiken<\/strong><\/td>\n<td><strong>M\u00f6gliche Folgen<\/strong><\/td>\n<td><strong>Gegenma\u00dfnahmen<\/strong><\/td>\n<\/tr>\n<tr>\n<td>Falsche GPO-Einstellungen f\u00fcr Ereignisse vom Typ \u201eAnmeldung \u00fcberwachen\u201c<\/td>\n<td>PowerShell liefert bei der Auswertung keine Protokolleintr\u00e4ge zur\u00fcck.<\/td>\n<td>Pr\u00fcfen Sie Ihre GPO-Einstellungen f\u00fcr \u201eAnmeldung \u00fcberwachen\u201c und stellen Sie sicher, dass das Sicherheitsprotokoll nicht wegen einer zu geringen Protokollgr\u00f6\u00dfe \u00fcberschrieben wird.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>N\u00e4chste Schritte: IP sperren oder Alarmierung ausl\u00f6sen<\/h2>\n<p>Das Sperren von IP-Adressen, Alarmierungen und weitere Ma\u00dfnahmen zur Minderung erfolgen in der Regel, nachdem Sie Ihre Sicherheitsereignisprotokolle ausgewertet haben. Dieser Abschnitt behandelt Ma\u00dfnahmen, die Sie mit PowerShell ergreifen k\u00f6nnen, wenn mehrere fehlgeschlagene Anmeldeversuche oder ein Brute-Force-Angriff erkannt werden.<\/p>\n<p>Ereignis ins Ereignisprotokoll schreiben:<\/p>\n<p><strong><code>Write-EventLog -LogName Application -Source \"BruteForceDetector\" -EventId 1010 -EntryType Warning -Message \"Brute-force detected from $($grouped[0].Name)\"<\/code><\/strong><br \/>\n<strong>Hinweis: <\/strong>Falls die Ereignisquelle nicht existiert, k\u00f6nnen Sie sie einmalig (als Administrator:in) anlegen mit:<\/p>\n<p>New-EventLog -LogName Application -Source &#8218;BruteForceDetector&#8216;<\/p>\n<p>Zus\u00e4tzlich k\u00f6nnen IT-Administrator:innen die IP lokal sperren (sofern die Quelle extern ist):<\/p>\n<p><strong><code>New-NetFirewallRule -DisplayName \"Block Brute IP\" -Direction Inbound -RemoteAddress $grouped[0].Name -Action Block<\/code><\/strong><\/p>\n<p>\ud83d\udca1 <strong>Hinweis: <\/strong>Dokumentieren Sie alle IP-Sperren und Bereinigungsrichtlinien in Ihrem RMM, um Konsistenz \u00fcber alle Ger\u00e4te hinweg sicherzustellen.<\/p>\n<h2>Weitere Aspekte bei der Erkennung von Brute-Force-Angriffen und beim Blacklisting mit PowerShell<\/h2>\n<h3>Lokale Angriffe im Vergleich zu RDP-Angriffen<\/h3>\n<p>Protokolle von Brute-Force-Versuchen sehen je nach Quelle unterschiedlich aus. Bei Brute-Force-Versuchen \u00fcber das <a href=\"https:\/\/www.ninjaone.com\/de\/blog\/remote-desktop-protocol-rdp\/\">Remote Desktop Protocol (RDP)<\/a> erscheint unter \u201eQuellnetzwerkadresse\u201c meist eine externe IP-Adresse, w\u00e4hrend bei einem lokalen Brute-Force-Angriff nur 127.0.0.1 steht. Ein Blick auf den Anmeldetyp kann zus\u00e4tzlichen Kontext liefern.<\/p>\n<h3>Dom\u00e4nencontroller<\/h3>\n<p>In Active-Directory-Umgebungen (AD) werden fehlgeschlagene Anmeldeversuche in der Regel auf den Dom\u00e4nencontrollern (DCs) protokolliert, nicht nur auf der Workstation, an der die Anmeldung versucht wurde. Es empfiehlt sich, die PowerShell-Skripte zentral oder \u00fcber Ereignisweiterleitung auszuf\u00fchren.<\/p>\n<h3>Fehlalarme<\/h3>\n<p>Nicht alle wiederholten Anmeldefehler gehen auf fehlgeschlagene Brute-Force-Angriffe zur\u00fcck. Auch Dienstkonten oder Synchronisierungstools l\u00f6sen gelegentlich fehlgeschlagene Anmeldungen aus. Schlie\u00dfen Sie bekannte, unbedenkliche Konten von den Brute-Force-Erkennungsregeln aus, um die Effizienz zu erhalten (dazu k\u00f6nnen Sie eine Whitelist in Ihr Skript aufnehmen, sodass diese Konten automatisiert \u00fcbersprungen werden)<\/p>\n<h3>SIEM-Integrationen<\/h3>\n<p>In Unternehmen mit einem System f\u00fcr Security Information and Event Management (SIEM) kann die Einbindung von Brute-Force-Erkennungsdaten die Transparenz deutlich verbessern. Leiten Sie die Daten, sofern m\u00f6glich, an einen zentralen Protokollsammler weiter, um Angriffe in Ihrer gesamten Umgebung zu erfassen.<\/p>\n<h2>H\u00e4ufige Probleme beheben<\/h2>\n<h3>Firewall-Regeln greifen nicht<\/h3>\n<p>Wenn Ihr Skript eine auff\u00e4llige IP mit einer PowerShell-Firewall-Regel sperren soll, dies aber nicht funktioniert, k\u00f6nnen Firewall-Profile oder Skriptberechtigungen die Ursache sein. Windows-Firewalls haben getrennte Profile (Dom\u00e4ne, Privat, \u00d6ffentlich), und die Regel muss f\u00fcr das richtige Profil gelten. Au\u00dferdem k\u00f6nnen PowerShell-Ausf\u00fchrungsrichtlinien oder fehlende Berechtigungen die Ausf\u00fchrung des Befehls verhindern. F\u00fchren Sie das Skript immer mit Administratorrechten aus und stellen Sie sicher, dass die System-Firewall aktiv und korrekt konfiguriert ist.<\/p>\n<h3>Registry-Eintr\u00e4ge werden nicht aktualisiert<\/h3>\n<p>Das Schreiben von Erkennungsergebnissen in die Registry erfordert passende Berechtigungen, insbesondere bei Zugriffen auf HKLM:\\SOFTWARE. F\u00fchrt ein Standardbenutzer das Skript aus, schlagen Registry-Schreibvorg\u00e4nge stillschweigend fehl oder es kommt zu einem Zugriffsfehler. Stellen Sie deshalb sicher, dass das Skript im Kontext von Administrator oder SYSTEM l\u00e4uft, was sich bei der Bereitstellung \u00fcber Tools wie NinjaOne erzwingen l\u00e4sst. Sinnvoll ist au\u00dferdem, zu pr\u00fcfen, ob der Registry-Schl\u00fcssel existiert und nicht durch Gruppenrichtlinien oder Software f\u00fcr Endpunkt-Sicherheit gesperrt ist.<\/p>\n<h2>Brute-Force-Erkennung mit NinjaOne-Services verbessern<\/h2>\n<p>Mit NinjaOne k\u00f6nnen IT-Administrator:innen und MSPs eine skalierbare Brute-Force-Erkennung umsetzen und die Reaktion auf Vorf\u00e4lle integrieren:<\/p>\n<ul>\n<li>PowerShell-Erkennungsskripte auf Ger\u00e4ten oder in Kundengruppen bereitstellen<\/li>\n<li>Registry-Werte oder Dateiausgaben \u00fcberwachen, um Erkennungen zu markieren<\/li>\n<li>Automatisierte Workflows zur Behebung ausl\u00f6sen (Alarmierungen, IP-Sperren, Benutzerbenachrichtigungen)<\/li>\n<li>Kunden\u00fcbergreifende Berichte zu Brute-Force-Versuchen und Quell-IPs erstellen<\/li>\n<li>Bei wiederholten Erkennungen oder gezielt angegriffenen Konten alarmieren<\/li>\n<\/ul>\n<h2>Sicherheitsereignisprotokolle mit PowerShell abrufen<\/h2>\n<p>Sicherheitsereignisprotokolle mit PowerShell auf Brute-Force-Versuche auszuwerten, gibt MSPs eine leistungsf\u00e4hige und skalierbare Methode an die Hand, um Angriffe auf Anmeldedaten zu erkennen und darauf zu reagieren. Dieser Leitfaden bietet IT-Administrator:innen eine Schritt-f\u00fcr-Schritt-Anleitung und Hilfe bei der Behebung h\u00e4ufiger Probleme.<\/p>\n<p><strong>Verwandte Themen:<\/strong><\/p>\n<ul>\n<li><a href=\"https:\/\/www.ninjaone.com\/de\/blog\/schritt-fuer-schritt-anleitung-herunterfahren-und-neustarts-in-der-ereignisanzeige-finden\/\">Windows-Ereignisprotokolle lesen: Herunterfahren und Neustart<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/de\/blog\/windows-schutzverlauf-loeschen\/\">So l\u00f6schen Sie den Schutzverlauf der Windows-Sicherheit in Windows 11<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/de\/blog\/linux-protokolle-ueberblick-mit-beispielen\/\">Linux-Logs verstehen: \u00dcbersicht mit Beispielen<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/it-hub\/endpoint-security\/what-is-a-brute-force-attack\/\">Was ist ein Brute-Force-Angriff?<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/de\/script-hub\/erkennen-und-verhindern-von-brute-force-angriffen-mit-powershell\/\">Brute-Force-Angriffe mit PowerShell erkennen und verhindern<\/a><\/li>\n<\/ul>\n<div class=\"quick-start-guide\"><h2><svg width=\"45\" height=\"45\" viewBox=\"0 0 45 45\" fill=\"none\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\">\n<path d=\"M41.4822 0H3.51778C1.57496 0 0 1.57496 0 3.51778V41.4822C0 43.425 1.57496 45 3.51778 45H41.4822C43.425 45 45 43.425 45 41.4822V3.51778C45 1.57496 43.425 0 41.4822 0Z\" fill=\"#053856\"\/>\n<path d=\"M30.4399 13.9904C28.9161 12.4475 26.9127 11.6737 24.4346 11.6737C23.0721 11.6737 21.8188 11.911 20.6794 12.3858C19.5401 12.8605 18.5859 13.5346 17.8168 14.4129V11.2654L12.2766 13.867V32.562H18.0779V22.4739C18.0779 20.6224 18.5099 19.2267 19.3787 18.2867C20.2474 17.3515 21.4105 16.8815 22.8727 16.8815C24.1877 16.8815 25.1894 17.285 25.8825 18.0968C26.5756 18.9086 26.9222 20.1334 26.9222 21.7808V32.562H32.7234V21.2728C32.7234 18.2393 31.9591 15.5285 30.4399 13.9856V13.9904Z\" fill=\"#04FF88\"\/>\n<\/svg>Quick-Start-Guide<\/h2><p><strong>PowerShell und Brute-Force-Erkennung in NinjaOne<\/strong><\/p>\n<p><a href=\"https:\/\/www.ninjaone.com\/de\/\">NinjaOne<\/a> bietet ein eigenes Skript, das speziell dabei hilft, Brute-Force-Anmeldeversuche zu erkennen. Dieses Skript ist ein bedingungsbasiertes Tool, mit dem sich potenzielle Sicherheitsbedrohungen im Zusammenhang mit Anmeldeversuchen identifizieren lassen.<\/p>\n<p><strong>Empfohlenes Vorgehen:<\/strong><br \/>\n1. Verwenden Sie das integrierte Skript \u201eCheck for Brute Force login attempts\u201c aus der Skriptbibliothek von NinjaOne.<br \/>\n2. F\u00fcr eine weitergehende Auswertung k\u00f6nnen Sie ein eigenes PowerShell-Skript erstellen, das:<br \/>, Sicherheitsereignisprotokolle durchsucht (Ereignis-ID 4625 f\u00fcr fehlgeschlagene Anmeldeversuche)<br \/>, fehlgeschlagene Anmeldeversuche innerhalb eines bestimmten Zeitraums erfasst<br \/>, einen Schwellenwert f\u00fcr m\u00f6gliche Brute-Force-Angriffe festlegt<\/p>\n<p><strong>Beispiel f\u00fcr die PowerShell-Logik:<\/strong><\/p>\n<p>powershell<br \/>\n$failedAttempts = Get-WinEvent -FilterHashtable @{<br \/>\nLogName = \u2018Security\u2019<br \/>\nID = 4625 # Failed Login Attempts<br \/>\n} | Where-Object { $_.TimeCreated -gt (Get-Date).AddHours(-1) }<\/p>\n<p>$uniqueIPs = $failedAttempts | Group-Object { $_.Properties[19].Value } |<br \/>\nWhere-Object { $_.Count -gt 10 } # Adjust threshold as needed<\/p>\n<p>if ($uniqueIPs) {<br \/>\n# Alert or take action for potential brute force<br \/>\nWrite-Output \u201cPotential Brute Force Detected\u201d<br \/>\n}<\/p>\n<p><strong>Best Practices:<\/strong><br \/>, Legen Sie Alarmierungsschwellen auf Basis der konkreten Sicherheitsrichtlinien Ihres Unternehmens fest<br \/>, Binden Sie die Alarmierungsmechanismen von NinjaOne ein<br \/>, \u00dcberpr\u00fcfen und justieren Sie die Erkennungsparameter regelm\u00e4\u00dfig<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Immer mehr Unternehmen r\u00fcsten ihre Sicherheit gegen Brute-Force-Angriffe auf, doch die Aufzeichnungen solcher Versuche bleiben oft unbeachtet, bis Anmeldedaten kompromittiert werden oder ein Konto gesperrt wird. IT-Administrator:innen k\u00f6nnen mit PowerShell Sicherheitsereignisprotokolle abrufen und auswerten, um die Abwehr ihres Unternehmens zu st\u00e4rken. Dieser Leitfaden zeigt Schritt f\u00fcr Schritt, wie Sie Brute-Force-Angriffe mit PowerShell erkennen und IP-Adressen [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":557030,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[4368],"tags":[],"class_list":["post-910791","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-sicherheit"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/posts\/910791","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/comments?post=910791"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/posts\/910791\/revisions"}],"predecessor-version":[{"id":910792,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/posts\/910791\/revisions\/910792"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/media\/557030"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/media?parent=910791"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/categories?post=910791"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/tags?post=910791"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}