lernbar/content/handouts/S10-protokolle-und-zeit.md

id, titel, block, woche, worum, rahmenplan, lernfeld, merksatz, karten

id	titel	block	woche	worum	rahmenplan	lernfeld	merksatz	karten
S10	Protokolle lesen – und warum die Uhrzeit stimmen muss	system	14	Protokolle sagen, was passiert ist. Aber nur, wenn man weiß, wo man suchen muss, und wenn die Uhren aller Systeme übereinstimmen.	A8 A6 B3	LF11	Zeitpunkt eingrenzen, dann suchen. Alle Uhren per NTP gleich. Protokolle enthalten personenbezogene Daten.	frage antwort Welche drei Protokolle der Windows-Ereignisanzeige sind für die Fehlersuche am wichtigsten? System (Treiber, Dienste, Neustarts), Anwendung (Meldungen der Programme) und Sicherheit (Anmeldungen, Zugriffe, Änderungen an Konten). frage antwort Warum muss die Uhrzeit auf allen Systemen übereinstimmen? Damit sich Ereignisse aus verschiedenen Protokollen einander zuordnen lassen, und weil Kerberos-Anmeldungen im Active Directory scheitern, wenn die Uhren um mehr als fünf Minuten abweichen. frage antwort Was bedeuten die Ereignis-IDs 4624 und 4625 im Sicherheitsprotokoll von Windows? 4624 ist eine erfolgreiche Anmeldung, 4625 eine fehlgeschlagene. Viele 4625 in kurzer Zeit für dasselbe Konto deuten auf Passwortraten hin.

Das Wesentliche

• Erst den Zeitpunkt eingrenzen, dann suchen. „Seit wann?" ist die wichtigste Frage bei jeder Störung. Wer den Zeitraum kennt, findet die Ursache im Protokoll in Minuten statt Stunden.
• Windows – Ereignisanzeige: Protokoll System für Dienste, Treiber und Neustarts, Anwendung für Programme, Sicherheit für Anmeldungen und Zugriffe. Filtern nach Zeitraum, Ebene (Fehler, Warnung) und Ereignis-ID.
• Linux – Journal: journalctl --since "2026-10-05 08:00" --until "09:00", -u dienst für einen Dienst, -p err für Fehler. Klassische Textdateien unter /var/log.
• Bekannte Ereignis-IDs sparen Zeit: 4624 Anmeldung erfolgreich, 4625 fehlgeschlagen, 4740 Konto gesperrt, 6008 unerwartetes Herunterfahren, 41 (Kernel-Power) Neustart ohne sauberes Herunterfahren.
• Zeitsynchronisation: Alle Systeme beziehen ihre Zeit per NTP aus derselben Quelle – in einer Domäne vom Domänencontroller, dieser von einer verlässlichen externen Quelle. Weichen Uhren um mehr als fünf Minuten ab, scheitert die Anmeldung über Kerberos.
• Zentral sammeln: Bei mehr als einer Handvoll Systeme gehören die Protokolle an einen zentralen Ort. Dann lässt sich eine Anmeldung über mehrere Systeme verfolgen – und ein Angreifer kann seine Spuren nicht auf dem befallenen System löschen.
• Protokolle sind personenbezogen. Sie zeigen, wer sich wann wo angemeldet hat. Deshalb: Aufbewahrung begrenzen, Zugriff beschränken, nur für den vereinbarten Zweck auswerten.

Übersicht

Frage	Windows	Linux
Warum ist der Server neu gestartet?	System, Ereignis 6008 bzw. 41 und 1074	journalctl --list-boots, last -x reboot
Wer hat sich angemeldet?	Sicherheit, Ereignis 4624	last, journalctl -u ssh
Warum startet der Dienst nicht?	System, Quelle „Service Control Manager"	systemctl status, journalctl -u dienst
Stimmt die Uhrzeit?	w32tm /query /status	timedatectl

Prüfungsfrage

Frage: Mehrere Benutzer können sich seit heute Morgen nicht mehr an der Domäne anmelden, andere schon. Die Fehlermeldung nennt einen Zeitunterschied. Erklären Sie die Ursache und Ihr Vorgehen.

Antwort: Die Anmeldung im Active Directory erfolgt über Kerberos, das nur eine geringe Abweichung der Uhrzeiten zwischen Client und Domänencontroller zulässt (standardmäßig fünf Minuten). Bei den betroffenen Rechnern geht die Uhr vermutlich falsch, etwa weil die Zeitsynchronisation nicht läuft oder eine leere CMOS-Batterie die Uhr nach einem Neustart zurückgesetzt hat. Vorgehen: (1) Auf einem betroffenen Client mit w32tm /query /status Zeitquelle und Abweichung prüfen. (2) Prüfen, ob der Domänencontroller selbst die richtige Zeit hat und von einer verlässlichen Quelle bezieht. (3) Die Zeit mit w32tm /resync synchronisieren und die Anmeldung testen. (4) Die Ursache beheben – Zeitdienst, Gruppenrichtlinie für die Zeitquelle oder Batterie – und die Zeitabweichung in die Überwachung aufnehmen.