So exportieren Sie Windows-Ereignisprotokolle (EVTX)

Die kurze Antwort: Öffnen Sie den Ereignisanzeige, klicken Sie mit der rechten Maustaste auf das benötigte Protokoll (zum Beispiel Windows-Protokolle → Sicherheit), wählen Sie Alle Ereignisse speichern unter…, und bewahren Sie das .evtx-Format. Über eine erhöhte Eingabeaufforderung ist dasselbe in einer Zeile: wevtutil epl Sicherheit C:logssecurity.evtx. Kopieren Sie die Dateien nicht von C:WindowsSystem32winevtLogs mit Explorer. Der Ereignisprotokolldienst hält sie offen, sodass Sie normalerweise einen Fehler oder nichts Verwendbares bekommen.

EVTX ist die zusätzliche Minute im Vergleich zu einem Textexport wert. Es ist das native Format, sodass jedes Feld, die Datensatz-IDs und die genauen UTC-Zeitstempel überleben. Ein SIEM kann Ihnen das nicht zurückgeben, da es gerenderten Text speichert. Prime Core hat 11.632 Sigma-Regeln für Windows-Ereignisprotokolle, zugeordnet zu 643 MITRE ATT&CK-Techniken. Sie reichen von Passworterraten (T1110) und bösartigen Diensten (T1543.003) bis zu Angreifern, die die Protokolle hinter sich löschen (T1070.001). Unten erfahren Sie, wie Sie die richtigen Protokolle exportieren, sie bereinigen und kostenlos in LogTotal untersuchen können.

1 Minute durchschnittliche Untersuchungszeit, kostenlos

Kurz gesagt

Bevor Sie beginnen

Drei Dinge entscheiden, ob der Export das enthält, was Sie hoffen.

Rechte. Administratoren können jedes Protokoll exportieren. Mitglieder der lokalen Gruppe ‚Ereignisprotokollleser‘ können die meisten Protokolle ohne vollständige Administratorrechte lesen. Für das Sicherheitsprotokoll ist eine erhöhte Eingabeaufforderung die zuverlässige Wahl. Einzelheiten finden Sie in unserem [Guide zu Windows-Ereignisprotokollberechtigungen].

Überwachungsrichtlinie. Windows protokolliert nur das, was ihm gesagt wird. Die Prozess-Erstellung (Ereignis 4688) wird standardmäßig nicht überwacht. Selbst wenn sie aktiviert ist, wird die Befehlszeile nur aufgezeichnet, wenn eine separate Richtlinie aktiviert ist. Überprüfen Sie, bevor Sie nach nicht geschriebenen Ereignissen suchen:

auditpol /get /category:*

Protokollgröße und Überschreiben. Jedes Protokoll hat eine maximale Größe. Standardmäßig überschreibt Windows die ältesten Ereignisse, wenn das Protokoll voll ist, und auf einem stark ausgelasteten Server oder Domänencontroller kann das nur Stunden der Geschichte bedeuten. Sehen Sie, womit Sie arbeiten:

wevtutil gl Sicherheit

Schauen Sie sich maxSize und Retention an. Wenn der Angriff vor dem ältesten Ereignis im Protokoll stattfand, ist er dort nicht enthalten. Überprüfen Sie stattdessen Ihr SIEM oder weitergeleitete Ereignisse.

Und der übliche Hinweis: Ereignisprotokolle sind voller Benutzernamen, Hostnamen und IPs. LogTotal bereinigt Uploads, aber Ihre Datenhandhabungsrichtlinie gilt weiterhin.

Welche Protokolle exportieren

„Die Windows-Protokolle“ sind auf einem modernen System ein paar hundert Kanäle. Für Sicherheitsarbeiten sind dies diejenigen, die normalerweise die Geschichte erzählen:

Nicht sicher, was eine Maschine hat? wevtutil el listet jeden Kanal auf. Leiten Sie es mit findstr /i sysmon (oder wonach Sie suchen) durch, um einen bestimmten zu überprüfen.

Option 1: Ereignisanzeige

Am besten für eine Maschine und ein paar Protokolle.

1. Drücken Sie Win+R, geben Sie eventvwr.msc ein und führen Sie es als Administrator aus.
2. Finden Sie das Protokoll. Die klassischen sind unter Windows-Protokolle. Alles andere befindet sich unter Anwendungen- und Dienstprotokolle → Microsoft → Windows. Sysmon befindet sich zum Beispiel unter …WindowsSysmonOperational.
3. Klicken Sie mit der rechten Maustaste auf das Protokoll und wählen Sie Alle Ereignisse speichern unter…
4. Behalten Ereignisdateien (*.evtx) als Typ aus und geben Sie der Datei einen aussagekräftigen Namen, wie zum Beispiel dc-01_security_2026-10-20.evtx.
5. Windows fragt dann nach Anzeigeinformationen. Das entscheidet, ob ein LocaleMetaData-Ordner mit Meldungstext neben der Datei gespeichert wird, was hilft, wenn jemand es in der Ereignisanzeige auf einem anderen Computer öffnet. Für einen LogTotal Upload zählt die .evtx-Datei.

Brauchen Sie nur einen Teil des Protokolls? Verwenden Sie Aktuelles Protokoll filtern… zuerst (Ereignis-IDs, Zeitbereich), dann Gefilterte Protokolldatei speichern unter…. Der XML Reiter des Filterdialogs zeigt die genaue XPath-Abfrage an, die er erstellt hat. Kopieren Sie sie; Sie werden sie gleich für wevtutil brauchen.

Option 2: wevtutil von der Befehlszeile

wevtutil wird mit jeder Windows-Version ausgeliefert, der Sie begegnen werden. Es funktioniert ohne GUI und kann beim Exportieren filtern. Führen Sie es von einer erhöhten Eingabeaufforderung aus.

Das gesamte Protokoll:

mkdir C:logs
wevtutil epl Sicherheit C:logsdc-01_security.evtx

Nur die letzten 24 Stunden (die Zahl ist Millisekunden):

wevtutil epl Sicherheit C:logsdc-01_security_24h.evtx /q:“*[System[TimeCreated[timediff(@SystemTime) <= 86400000]]]“

Ein genaues Fenster, in UTC:

wevtutil epl Sicherheit C:logsdc-01_security_1019.evtx /q:“*[System[TimeCreated[@SystemTime>=’2026-10-19T00:00:00.000Z‘ and @SystemTime<‚2026-10-20T00:00:00.000Z‘]]]“

Nur Anmeldungen, erfolgreich und fehlgeschlagen:

wevtutil epl Sicherheit C:logsdc-01_logons.evtx /q:“*[System[(EventID=4624 or EventID=4625)]]“

Kanalnamen mit Leerzeichen benötigen Anführungszeichen:

wevtutil epl „Microsoft-Windows-Windows Defender/Operational“ C:logsdefender.evtx

Wenn die Zieldatei bereits existiert, weigert sich wevtutil, sie zu überschreiben, es sei denn, Sie fügen /ow:true hinzu. Das Schreiben von XPath von Hand wird schnell alt. Erstellen Sie den Filter im Ereignisanzeiger und kopieren Sie die Abfrage aus dem XML-Reiter, wie oben beschrieben.

Auf einem Domänencontroller: filter. Ein ungefilterter Sicherheits-Export von einem stark ausgelasteten DC kann bis zu Gigabyte umfassen, und Sie laden den größten Teil davon für nichts hoch.

Option 3: Mehrere Protokolle oder eine Remote-Maschine

Für die Triage möchten Sie normalerweise dieselbe Handvoll Protokolle von jedem Host. Dieses PowerShell-Snippet exportiert sie in einen Ordner pro Maschine und überspringt jeden Kanal, der nicht existiert (zum Beispiel kein Sysmon), anstatt zu scheitern:

$out = „C:logs$env:COMPUTERNAME“
New-Item -ItemType Directory -Force -Path $out | Out-Null

$logs = ‚Security‘, ‚System‘,
        ‚Microsoft-Windows-Sysmon/Operational‘,
        ‚Microsoft-Windows-PowerShell/Operational‘,
        ‚Microsoft-Windows-Windows Defender/Operational‘,
        ‚Microsoft-Windows-TaskScheduler/Operational‘

foreach ($l in $logs) {
    $file = Join-Path $out (($l -replace ‚[\/ ]‘, ‚_‘) + ‚.evtx‘)
    wevtutil epl $l $file /ow:true 2>$null
    if ($LASTEXITCODE -ne 0) { Write-Warning „Übersprungen: $l“ }
}

Remote-Maschinen. wevtutil akzeptiert /r:<computer>, aber es gibt einen Haken, den die Leute auf die harte Tour herausfinden: Die Exportdatei wird auf der Remote Festplatte der Maschine geschrieben, nicht auf Ihrer. Planen Sie, sie anschließend abzuholen:

wevtutil epl Sicherheit C:logssrv-01_security.evtx /r:srv-01
copy \srv-01C$logssrv-01_security.evtx .

Dies erfordert Administratorrechte auf dem Ziel und die Remote-Ereignisprotokollverwaltung Firewalleinstellungen sind dort aktiviert. Wenn diese Regeln deaktiviert sind und Sie sie nicht berühren möchten, erledigt PowerShell-Remoting die gleiche Arbeit: Führen Sie das oben stehende Snippet über Invoke-Command aus und ziehen Sie die Dateien dann mit Copy-Item -FromSession zurück.

Hochladen und Überprüfen in LogTotal

LogTotal liest EVTX nativ, sodass nichts konvertiert werden muss. Es ist der kostenlose Dienst von SOC Prime zum Ausführen von Erkennungslogik gegen eine Protokolldatei ohne Einrichtung.

1. Hochladen. Öffnen Sie logtotal.com und legen Sie die .evtx-Datei ab. [PROOF: Upload-Bildschirm, Größenlimit, ob mehrere Dateien auf einmal hochgeladen werden können]
2. Überprüfen. [PROOF: what the results screen shows and how findings map to rules and ATT&CK techniques]

Wie dies bei echten Daten aussieht. Wir verwendeten [PROOF: Beispieldatenquelle, z.B. ein Security.evtx von einer Einweg-Windows-VM nach einer simulierten Angriffsreihe: fehlgeschlagene Anmeldungen, ein neuer lokaler Admin, ein neuer Dienst, dann wird das Anwendungsprotokoll gelöscht]. Die Datei war [PROOF: N Ereignisse, X MB]. LogTotal markierte [PROOF: tatsächliche Funde, übereinstimmende Regeln, ATT&CK-Techniques].

Möchten Sie es zuerst ausprobieren? [PROOF: Link zur Beispieldatei] ist die gleiche Datei, die wir oben verwendet haben.

Wenn es schiefgeht