Wie man Google Workspace Audit Logs exportiert

In der Google Admin-Konsole, Berichte → Prüfung und Untersuchung enthält die Protokolle (Login, Admin, Drive, OAuth und mehr), und jedes kann von dort exportiert werden. Für JSON verwenden Sie die Admin SDK Reports API, Methode activities.list. Für einen einmaligen Export benötigen Sie nicht einmal Code: Die API-Referenzseite hat ein „Probieren Sie diese Methode aus“-Panel, das den Aufruf für Sie ausführt. Die meisten Workspace-Prüfdaten werden für sechs Monate aufbewahrt.

Workspace-Audit-Protokolle zeigen, wer sich von wo angemeldet hat, welche Drittanbieter-Anwendungen Zugriff auf E-Mails und Dateien erhalten haben und welche Dokumente plötzlich mit der Außenwelt geteilt wurden. Prime Core hat {N} Erkennungsregeln für Google Workspace-Daten, die auf {M} MITRE ATT&CK-Techniken abgebildet sind. Darunter: Missbrauch von Cloud-Konten (T1078.004), bösartige OAuth-Berechtigungen (T1528) und E-Mail-Weiterleitung an externe Adressen (T1114.003).

Kostenlos loslegen

Bevor Sie beginnen

Berechtigungen. Ein Superadministrator oder eine Administratorrolle mit der Berichtsberechtigung.

Wählen Sie das richtige Protokoll. In der API ist jedes Protokoll ein applicationName: login, admin, drive, token (OAuth-Berechtigungen), user_accounts, saml, groups und andere. Gmail-Nachrichtenprotokolle sind nicht Teil dieser API. Für diese verwenden Sie die E-Mail-Protokollsuche in der Admin-Konsole oder den BigQuery-Export, wenn Ihre Edition dies unterstützt.

Aufbewahrung und Verzögerung. Die meisten Prüflogs gehen etwa sechs Monate zurück. Neue Ereignisse können je nach Protokoll Minuten bis Stunden dauern, um angezeigt zu werden.

Ein kurzes Python-Skript

Für wiederholbare Exporte verwendet ein Dienstkonto mit domänenweiter Delegierung die Identität eines Admins. Es benötigt google-api-python-client und google-auth:

import json

from google.oauth2 import service_account

from googleapiclient.discovery import build


creds = service_account.Credentials.from_service_account_file(

    "sa.json",

    scopes=["https://www.googleapis.com/auth/admin.reports.audit.readonly"],

    subject="admin@example.com",

)

svc = build("admin", "reports_v1", credentials=creds)


with open("workspace_login_1019.jsonl", "w") as out:

    req = svc.activities().list(

        userKey="all", applicationName="login",

        startTime="2026-10-19T00:00:00Z", endTime="2026-10-20T00:00:00Z",

        maxResults=1000,

    )

    while req is not None:

        resp = req.execute()

        for item in resp.get("items", []):

            out.write(json.dumps(item) + "n")

        req = svc.activities().list_next(req, resp)

Die domänenweite Delegation ist mächtig. Gewähren Sie ihr nur diesen schreibgeschützten Bereich, halten Sie die Schlüsseldatei aus geteilten Laufwerken fern und entfernen Sie die Delegation, wenn Sie fertig sind. Führen Sie das Skript einmal pro applicationName aus, das Sie benötigen.

Worauf Sie achten sollten

Hochladen, bereinigen und prüfen in LogTotal

1. Hochladen. Öffnen logtotal.com und die .jsonl-Datei einfügen.
2. Bereinigen. 
3. Prüfen. 

Wenn es schief geht