Benutzerkonto-Audit

Der Check Benutzerkonto-Audit prüft lokale Benutzerkonten auf einem Gerät und warnt bei gesperrten Konten, inaktiven Benutzern und einem aktivierten Standard-Administratorkonto. So erkennst du Sicherheitshygiene-Probleme wie ruhende Konten, die entfernt werden sollten. Er läuft unter Windows, Linux und macOS standardmäßig alle 24 Stunden (1440 Minuten).

Unter Windows kommen Identitäten aus aktuellen Konsolen- und RDP-Anmeldungen hinzu, einschließlich Domänenkonten. Der Check liest nicht das gesamte Active Directory aus. Als aktuell angemeldet erkannte Konten sind von Inaktivitätswarnungen ausgenommen, nicht von anderen Warnregeln.

Voraussetzungen

• Du benötigst die Berechtigung Monitoring-Check-Verwaltung.
• Das Zielgerät muss einen verbundenen Agent haben.

Schritte

1. Gehe zu Geräte und öffne das Gerät.
2. Klicke auf den Tab Checks → Check hinzufügen → Benutzerkonto-Audit.
3. Konfiguriere die Prüfregeln. Systemkonten pruefen und Ausgeschlossene Konten findest du unter Erweitert.
4. Klicke auf Check hinzufügen.

Nach dem ersten Check-Intervall siehst du das Ergebnis im Tab Checks des Geräts.

Einstellungen

• Gesperrte Konten können auf Brute-Force-Versuche hindeuten — untersuche, warum das Konto gesperrt wurde.
• Die Standard-Admin-Warnung erkennt Server, auf denen das integrierte Administrator-Konto noch aktiviert ist. Best Practice ist, es zu deaktivieren und ein benanntes Admin-Konto zu verwenden.
• Setze Max. inaktive Tage basierend auf der Richtlinie deiner Organisation. 90 Tage sind eine häufige Compliance-Anforderung. Auch neue, noch nie verwendete Konten können mit Nie angemeldet oder letztes Anmeldedatum unbekannt auftauchen.
• Lasse Systemkonten pruefen deaktiviert, es sei denn, du musst Dienstkonten gezielt prüfen. System- und Dienstkonten melden sich unter Linux und macOS meist nie interaktiv an und würden als inaktiv markiert.
• Nutze Ausgeschlossene Konten für Konten, die du bewusst behältst, etwa ein Notfall-Admin- oder ein Backup-Dienstkonto. Trage pro Eintrag einen Kontonamen ein.

Ergebnisse

Jedes markierte Konto führt zum Status Warnung; den Status Kritisch meldet der Check nicht. Bleibt nach Filtern und Ausschlüssen kein Konto übrig oder kann der Check die Konten nicht auslesen, meldet er ebenfalls Warnung.

Der Check erfasst:

• Kontostatistik: Anzahl der Konten gesamt sowie aktivierte, deaktivierte, Admin-, gesperrte und inaktive Konten
• Vollständiges Kontoinventar — jedes geprüfte Konto mit Benutzername, Aktiviert-/Admin-/Gesperrt-Kennzeichnung, Zeitstempel der letzten Anmeldung sofern bekannt, inaktiven Tagen und dem Ergebnis pro Konto
• Liste der markierten Konten — jeder Eintrag enthält den Benutzernamen, den Grund der Markierung (z. B. Konto ist gesperrt, Seit N Tagen inaktiv, Standard-Administratorkonto ist aktiviert oder Nie angemeldet oder letztes Anmeldedatum unbekannt), den Zeitstempel der letzten Anmeldung sofern bekannt sowie die Ergebnis-Schweregradstufe pro Konto

Öffne den Check im Tab Checks, um zwei Ansichten zu sehen. Die Ansicht Detail zeigt den letzten Lauf als Momentaufnahme: eine Statistikzeile mit Gesamt, Aktiv, Admins, Gesperrt, Inaktiv und Auffällig, die auffälligen Konten hervorgehoben mit ihren Gründen sowie die vollständige Tabelle des Kontoinventars. Die Ansicht Verlauf zeigt, wie sich das Audit über frühere Läufe verändert hat.

Verlaufsansicht

Die Verlaufsansicht führt einen Datensatz pro Lauf, damit du das Audit im Zeitverlauf nachvollziehen kannst. Sie zeigt jeweils einen Tag — beim Öffnen den jüngsten Tag mit Ergebnissen — und über das Datumselement wechselst du zwischen den Tagen mit Ergebnissen oder wählst einen Zeitraum über mehrere davon. Check-Ergebnisse werden standardmäßig 30 Tage lang aufbewahrt. Unterhalb des Datumselements besteht die Ansicht aus zwei Teilen.

Ein Trenddiagramm (beschriftet mit Konten gesamt) stellt die Anzahl der Konten gesamt jedes aufgezeichneten Laufs in chronologischer Reihenfolge dar, mit dem Datum des ersten und letzten Laufs auf der Achse und dem aktuellsten Gesamtwert neben der Beschriftung. Die Zahl kann sich durch angelegte oder entfernte Konten ändern, unter Windows aber auch durch wechselnde angemeldete Identitäten. Es ist ein Trend, den du an der steigenden oder fallenden Linie abliest, kein expliziter Wert für hinzugefügte oder entfernte Konten; lies die Linie deshalb zusammen mit der Lauf-Tabelle darunter. Das Diagramm wird nur gezeichnet, wenn mindestens zwei Läufe einen Gesamtwert tragen — beim voreingestellten 24-Stunden-Intervall reicht ein einzelner Tag dafür selten aus; wähle dann einen Zeitraum, um den Trend zu sehen.

Unter dem Diagramm listet eine Tabelle pro Lauf jeden aufgezeichneten Lauf mit den folgenden Spalten auf:

Durch den Vergleich der Zeilen siehst du, wann ein Konto zum ersten Mal auftauchte oder markiert wurde, sodass du eine Veränderung der Trendlinie einem bestimmten Lauf zuordnen kannst.

Plattformunterschiede

• Unter Windows ermittelt der Check lokale Benutzerkonten über PowerShell Get-LocalUser und ergänzt Identitäten aus aktuellen Konsolen- und RDP-Anmeldungen, auch Domänenkonten. Das ist kein vollständiges Active-Directory-Inventar. Aktuell angemeldete Konten werden nicht wegen Inaktivität markiert, selbst wenn ihr Anmeldedatum fehlt. Andere Warnregeln bleiben aktiv. Wechselnde Sitzungen können dadurch auch die Kontosumme im Verlauf verändern. Gesperrte Konten erkennt der Check unter Windows nicht; Bei gesperrten Konten warnen wirkt dort nicht. Das Standard-Admin-Konto erkennt er nur am Namen, ein umbenanntes integriertes Administratorkonto also nicht.
• Unter Linux liest der Check /etc/passwd für die Kontoliste, verwendet passwd -S <user> zur Erkennung gesperrter Konten und liest die letzten Anmeldezeiten über lastlog -u <user>, mit Rückgriff auf last -1 -F <user>, sobald lastlog kein verwertbares Datum liefert — auch dann, wenn es das Konto als nie angemeldet meldet, was last oft dennoch auflösen kann. Ein per passwd -S gesperrtes Konto gilt zugleich als deaktiviert: Es wird als gesperrt gemeldet, aber weder wegen Inaktivität noch als aktiviertes Standard-Admin-Konto. Ist auf deinen Geräten das Kennwort von root gesperrt, trage root bei Bedarf unter Ausgeschlossene Konten ein.
• Unter macOS ermittelt der Check Konten über dscl . list /Users, liest dscl . read /Users/<user> AuthenticationAuthority aus, um die Marker DisabledUser / LockedAccount zu erkennen, und verwendet last -1 -y <user> für die Zeit der letzten Anmeldung.
• Die Metrik „letzte Anmeldung“ verwendet die vom Betriebssystem gemeldete letzte interaktive Anmeldezeit. Dienstkonten, die sich über APIs authentifizieren, können als inaktiv angezeigt werden.