Administratoraktionen fehlen im Überwachungsprotokoll

• Sie entfernen die Authentifizierung eines Agents, und im Überwachungsprotokoll erscheint kein Eintrag.
• Sie geben einen Agent frei oder veröffentlichen ihn, und die Aktion wird nicht aufgezeichnet.
• Sie deaktivieren die Application Insights-Protokollierung, und diese Änderung wird nicht protokolliert.
• Ihre Überwachungssuche liefert weniger Administratorereignisse als die von Ihnen vorgenommenen Änderungen.
• Die Lücke scheint zwischen Plattformupdates zu kommen und zu gehen.

Falls stattdessen andere Agents Ihren Agent ohne Spur nutzen → siehe Andere Agents können Ihren Agent nutzen. Falls stattdessen ein öffentlich erreichbarer Agent Daten preisgibt → siehe Ein öffentlich erreichbarer Agent gibt Daten preis.

Einige Administratoraktionen an einem Agent sollten einen Eintrag im Überwachungsprotokoll erzeugen. Vier von ihnen taten dies zwischen Ende August und Ende September 2025 nicht. Diese Aktionen waren das Entfernen der Authentifizierung, das Deaktivieren der Protokollierung, das Freigeben und das Veröffentlichen. Sicherheitsforscher meldeten es, und Microsoft behob es am 2025-10-05, wie Datadog dokumentiert. Dann rutschte die Behebung ab: Zwei der vier Ereignisse begannen wieder inkonsistent zu protokollieren. Dieser regressierte Zustand ist bis Anfang 2026 dokumentiert. Eine Administratoränderung kann also stattfinden und keinen verlässlichen Eintrag hinterlassen. Stellen Sie sich ein Empfangs-Anmeldebuch vor, in dem einige Besucherzeilen leer bleiben. Sie können allein aus dem Buch nicht ablesen, ob sich alle eingetragen haben.

Für Technikerinnen und Techniker

Die vier Vorgänge sind BotUpdateOperation-BotAuthUpdate, BotUpdateOperation-BotAppInsightsUpdate, BotUpdateOperation-BotShare und BotUpdateOperation-BotPublish. Datadog meldete die Lücke am 2025-09-02 an MSRC, und Microsoft behob sie am 2025-10-05. Der aktualisierte Beitrag von Datadog dokumentiert eine Regression: Zwei der vier Ereignisse protokollieren nach der Behebung inkonsistent. Stand 2026-07-08 meldete MSRC, das Verhalten nicht reproduzieren zu können, während die Testdaten von Datadog Bestand hatten. Behandeln Sie die Vollständigkeit der Überwachung hier als beweglichen, nicht als abgeschlossenen Zustand. Microsoft dokumentiert diese Vorgänge als überwachbar und zeigt, wie man sie in Purview anzeigt.

Nehmen Sie eine risikoarme Administratoränderung an einem Testagent vor. Geben Sie ihn beispielsweise für eine einzelne Kollegin oder einen einzelnen Kollegen frei und notieren Sie die Uhrzeit. Durchsuchen Sie das Überwachungsprotokoll nach dem Freigabeereignis. Erwartet: ein passender Eintrag innerhalb der dokumentierten Verzögerung. Fehlt er, sind Sie von der Regression betroffen; verlassen Sie sich auf Stichproben und Erkennungen.

• Das Ereignis ist verzögert, nicht fehlend. Überwachungseinträge können nachhängen. Warten Sie und suchen Sie erneut, bevor Sie auf eine Lücke schliessen.
• Sie haben an der falschen Stelle gesucht. Vergewissern Sie sich, dass Sie Microsoft Purview Audit für den richtigen Mandanten verwenden.
• Die Überwachung war nie aktiviert. Prüfen Sie, ob die einheitliche Überwachungsprotokollierung für Ihre Organisation aktiviert ist.
• Das Ereignis wurde tatsächlich nicht protokolliert. Dies ist die dokumentierte Regression. Führen Sie weiterhin Stichproben durch und halten Sie Ihre Erkennungen aktiv.

• Fügen Sie Ihrem Security-Publish-Gate einen Schritt zur Überwachungsstichprobe hinzu und wiederholen Sie ihn nach jedem Plattformupdate.
• Betrachten Sie „es wurde behoben" nie als dauerhaft; verifizieren Sie Überwachungsereignisse nach einem Zeitplan erneut.
• Behalten Sie Erkennungen für die vier Schlüsselvorgänge bei, damit eine stille Lücke einen Alarm auslöst.