Windows führt über jede Remotedesktop-Sitzung Protokoll, allerdings nicht an einem einzigen Ort. Die Details sind auf drei verschiedene Protokolle der Ereignisanzeige verteilt, von denen sich keines im Standardpfad der Windows-Protokolle befindet, sodass eine einfache Suche dort in der Regel keine Treffer liefert.
Sobald Sie wissen, welches Protokoll welche Ereignisse enthält, dauert das Abrufen eines vollständigen Sitzungsverlaufs nur noch wenige Minuten statt einer Stunde Rätselraten.
Dieser Leitfaden erklärt, wo Windows eingehende RDP-Protokolle speichert und wie Sie sie mit der Ereignisanzeige und PowerShell lesen. Außerdem behandelt er die wichtigsten Ereignis-IDs und zeigt, wo Sie Protokolle ausgehender Verbindungen finden, falls Sie die Client-Seite einer Sitzung überprüfen müssen.
Wo Windows RDP-Protokolle speichert
RDP-Protokolle auf dem Zielrechner befinden sich an drei separaten Orten in der Windows-Ereignisanzeige:
• Anwendungs- und Dienstprotokolle > Microsoft > Windows > TerminalServices-LocalSessionManager > Betriebsbereit umfasst Verbindungs-, Trennungs- und Abmeldeereignisse von Sitzungen (Ereignis-IDs 21, 23, 24, 25, 39, 40).
• Anwendungs- und Dienstprotokolle > Microsoft > Windows > TerminalServices-RemoteConnectionManager > Betriebsbereit umfasst Verbindungsereignisse auf Netzwerkebene (Ereignis-ID 1149).
• Windows-Protokolle > Sicherheit umfasst erfolgreiche und fehlgeschlagene Anmeldungen sowie Sitzungsüberwachungsereignisse (Ereignis-IDs 4624, 4625, 4778, 4779).
Alle drei Protokolle erfassen Aktivitäten auf dem Zielrechner, also dem, zu dem die Verbindung hergestellt wird. Um zu prüfen, mit welchen Rechnern ein Benutzer ausgehend verbunden war, siehe die Abschnitte Registry und RDPClient nahe dem Ende dieses Artikels.
Wichtige RDP-Ereignis-IDs erklärt
Dies sind die Ereignis-IDs, die die meisten Administratoren bei der Untersuchung von Remotedesktopaktivitäten verwenden.
| Ereignis-ID | Protokoll | Bedeutung |
| 1149 | TerminalServices-RemoteConnectionManager | RDP-Verbindung auf Netzwerkebene hergestellt (Anmeldeinformationen überprüft) |
| 4624 | Sicherheit | Erfolgreiche Anmeldung |
| 4625 | Sicherheit | Fehlgeschlagener Anmeldeversuch |
| 21 | TerminalServices-LocalSessionManager | Remotesitzung erfolgreich erstellt |
| 24 | TerminalServices-LocalSessionManager | Sitzung getrennt |
| 25 | TerminalServices-LocalSessionManager | Sitzung erneut verbunden |
| 23 | TerminalServices-LocalSessionManager | Sitzung abgemeldet |
| 39 | TerminalServices-LocalSessionManager | Benutzer wurde über das Startmenü getrennt oder durch eine andere Sitzung getrennt |
| 40 | TerminalServices-LocalSessionManager | Sitzung beendet (oder erneut verbunden) mit einem Trennungsgrundcode |
| 4778 | Sicherheit | Sitzung erneut mit einer Fensterstation verbunden |
| 4779 | Sicherheit | Sitzung von einer Fensterstation getrennt |
Verständnis der Ereignis-ID 1149
Ereignis-ID 1149 sorgt für mehr Verwirrung als die meisten RDP-Ereignisse, teilweise wegen ihrer Bezeichnung: “Benutzerauthentifizierung erfolgreich.”
In aktuellen Windows-Versionen wird sie ausgelöst, sobald die Anmeldeinformationen des Clients über das Netzwerk überprüft wurden, bevor die vollständige interaktive Anmeldung und Sitzungserstellung stattfinden. Das unterscheidet sich vom älteren Verhalten in Versionen vor Windows 7 und Server 2012, als 1149 bei jedem Verbindungsversuch protokolliert werden konnte, unabhängig davon, ob die Anmeldeinformationen gültig waren.
1149 bedeutet also, dass die Anmeldeinformationen erfolgreich geprüft wurden, aber es bedeutet nicht, dass der Benutzer am Ende eine funktionierende Sitzung erhielt. Sitzungslimits, RDP-Berechtigungsbeschränkungen oder Lizenzprobleme können die Anmeldung anschließend weiterhin blockieren. Um zu bestätigen, dass jemand tatsächlich hineingekommen ist, korrelieren Sie es mit der Ereignis-ID 4624 im Sicherheitsprotokoll oder der Ereignis-ID 21 im LocalSessionManager-Protokoll.
So überprüfen Sie RDP-Protokolle in der Ereignisanzeige
Die Ereignisanzeige ist das Standardtool zum Anzeigen der Protokolle der Remotedesktopverbindung unter Windows 10, Windows 11 und Windows Server 2016, 2019 und 2022.
Öffnen Sie die Ereignisanzeige, indem Sie Win + R drücken und Folgendes eingeben:
eventvwr.msc
und die Eingabetaste drücken.
TerminalServices-LocalSessionManager (Sitzungsereignisse)
Dies ist in der Regel das erste Protokoll, das überprüft werden sollte, da es Sitzungsanmeldungen, Trennungen, Wiederverbindungen und Abmeldungen aufzeichnet.
Navigieren Sie zu:
Anwendungs- und Dienstprotokolle > Microsoft > Windows > TerminalServices-LocalSessionManager
Wählen Sie Betriebsbereit aus. Klicken Sie auf Aktuelles Protokoll filtern. Geben Sie die folgenden Ereignis-IDs ein:
21,23,24,25,39,40
Klicken Sie auf OK.
Jeder Eintrag enthält den Benutzernamen, die Sitzungs-ID, Zeitstempel und die Quellnetzwerkadresse.
Wenn die Quellnetzwerkadresse eine entfernte IP-Adresse enthält, hat Windows eine eingehende RDP-Sitzung protokolliert. Wenn LOCAL angezeigt wird, handelt es sich bei dem Ereignis um eine lokale Konsolenanmeldung und nicht um Remote Desktop.
Beispiel: Wenn ein Administrator vermutet, dass jemand außerhalb der Geschäftszeiten auf einen Windows-Server zugegriffen hat, zeigt das Filtern nach der Ereignis-ID 21 jede erfolgreiche RDP-Sitzung mit Zeitstempel und Quelladresse.
TerminalServices-RemoteConnectionManager (Verbindungsversuche)
Dieses Protokoll zeichnet den Zeitpunkt auf, an dem die Anmeldeinformationen des RDP-Clients über das Netzwerk überprüft werden, bevor Windows die interaktive Anmeldung abschließt und die Sitzung erstellt.
Navigieren Sie zu:
Applications and Services Logs > Microsoft > Windows > TerminalServices-RemoteConnectionManager > Operational
Filtern nach:
1149
Dieses Protokoll ist bei der Fehlerbehebung von Anmeldeproblemen hilfreich, da es bestätigt, dass die Anmeldeinformationen des Clients akzeptiert wurden, selbst in Fällen, in denen die Sitzung aufgrund nachgelagerter Berechtigungs- oder Lizenzbeschränkungen nie vollständig geöffnet wird.
Korrelieren Sie es mit dem Sicherheitsprotokoll oder der Ereignis-ID 21, bevor Sie daraus schließen, dass jemand tatsächlich in eine funktionsfähige Sitzung gelangt ist, denn die Überprüfung der Anmeldeinformationen und der vollständige Abschluss der Anmeldung sind nicht dasselbe.
Sicherheitsprotokoll (Authentifizierungsereignisse)
Das Sicherheitsprotokoll zeichnet erfolgreiche und fehlgeschlagene Authentifizierungsversuche auf und erfordert Administratorrechte.
Öffnen:
Windows-Protokolle > Sicherheit
Wählen Sie Aktuelles Protokoll filtern. Filtern nach:
4624,4625,4778,4779
Öffnen Sie ein 4624-Ereignis und prüfen Sie das Feld Anmeldetyp.
Eine herkömmliche Remotedesktop-Anmeldung erscheint als Anmeldetyp 10 (RemoteInteractive).
Auf Systemen mit Network Level Authentication (NLA), die in modernen Windows-Versionen standardmäßig aktiviert ist, sehen Sie häufig Anmeldetyp 3 (Network) unmittelbar vor oder zusammen mit Anmeldetyp 10.
Anmeldetyp 3 allein identifiziert keine RDP-Sitzung, da Windows ihn für viele Arten der Netzwerkauthentifizierung verwendet. Korrelieren Sie ihn mit Quellnetzwerkadresse, Ereignis-ID 1149 oder Ereignis-ID 21, um festzustellen, ob die Aktivität von Remotedesktop stammt.
So zeigen Sie RDP‑Protokolle mit PowerShell an
PowerShell bietet eine schnellere Möglichkeit, RDP-Protokolle zu durchsuchen, als das Navigieren in der Ereignisanzeige, und ist besonders nützlich für Skripting und den Export von Auditdaten.
So rufen Sie erfolgreiche Ereignisse zur Sitzungserstellung ab:
Get-WinEvent -LogName ‘Microsoft-Windows-TerminalServices-LocalSessionManager/Operational’ |
Where-Object {$_.Id -eq 21} |
Select-Object TimeCreated, Message |
Format-List
So durchsuchen Sie das Sicherheitsprotokoll nach erfolgreichen Remotedesktop-Anmeldungen, die heute aufgezeichnet wurden:
Get-WinEvent -FilterHashtable @{
LogName=’Security’
Id=4624
StartTime=(Get-Date).Date
} |
Where-Object {$_.Message -match ‘Logon Type:\s+10’}
So exportieren Sie die Sitzungsaktivität:
Get-WinEvent -LogName ‘Microsoft-Windows-TerminalServices-LocalSessionManager/Operational’ |
Where-Object {$_.Id -in 21,23,24} |
Export-Csv C:\rdp-session-log.csv -NoTypeInformation
Noch etwas, das Sie prüfen sollten, bevor Sie sich auf historische Protokolle verlassen: Das Protokoll TerminalServices-LocalSessionManager überschreibt ältere Einträge, sobald es seine maximale Größe erreicht. Auf stark ausgelasteten Remotedesktop-Sitzungshosts kann das überraschend schnell passieren.
So erhöhen Sie die maximale Protokollgröße:
wevtutil sl Microsoft-Windows-TerminalServices-LocalSessionManager/Operational /ms:20971520
Dieses Beispiel erhöht das Protokoll auf 20 MB. Passen Sie den Wert daran an, wie viel Verlauf Sie aufbewahren müssen. Dadurch bleibt mehr Zeit, bevor alte Einträge überschrieben werden, aber dauerhaft wird das Protokoll dadurch nicht, es sei denn, die Aufbewahrung wird separat konfiguriert.
So zeigen Sie Protokolle ausgehender Remotedesktopverbindungen an
Alles, was bisher behandelt wurde, protokolliert eingehende RDP-Verbindungen auf dem Zielcomputer.
Wenn Sie untersuchen müssen, mit welchen Computern sich ein Benutzer von einer Windows-Arbeitsstation aus verbunden hat, gibt es zwei nützliche Datenquellen.
Protokoll (Verbindungsverlauf)
Öffnen Sie den Registrierungs-Editor (regedit) und navigieren Sie zu:
HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Default
Die Werte MRU0-MRU9 enthalten die zehn zuletzt verwendeten Hostnamen oder IP-Adressen des Remotedesktopclients.
Diese Einträge liefern den Zielverlauf, enthalten jedoch keine Zeitstempel.
TerminalServices-RDPClient Protokoll
Wenn Zeitstempel wichtig sind, prüfen Sie:
Anwendungs- und Dienstprotokolle > Microsoft > Windows > TerminalServices-ClientActiveXCore > Microsoft-Windows-TerminalServices-RDPClient > Betriebsbereit
Dieses Protokoll erfasst ausgehende Clientaktivitäten, einschließlich:
• Ereignis-ID 1024 – der RDP-Client versucht, eine Verbindung zu einem Server herzustellen, protokolliert in dem Moment, in dem die Verbindung initiiert wird
• Ereignis-ID 1102 – Details der Verbindungsabfolge werden protokolliert, während der Client die Sitzung aufbaut, einschließlich der Ziel-IP-Adresse
Über die Registrierungseinträge und dieses Protokoll erhalten Sie sowohl den Zielverlauf als auch die zugehörigen Zeitstempel.
Wie HelpWire den Sitzungsverlauf protokolliert
Die Windows-Ereignisanzeige wurde nicht für diese Art nachträglicher Auswertung entwickelt. Sie ist ein Tool für Audits und Fehlerbehebung, daher bedeutet die Rekonstruktion einer einzelnen RDP-Sitzung üblicherweise, Daten aus zwei oder drei separaten Protokollen zu ziehen und die Zeitstempel manuell abzugleichen.
HelpWire handhabt dies anders: Jede Remote-Support-Sitzung, betreut oder unbeaufsichtigt, wird als ein einziger chronologischer Datensatz protokolliert: Verbindungsereignisse, Sitzungsdetails und Chatverlauf zusammen, ohne dass nach Sitzungsende Querverweise nötig sind.
HelpWire sichert Remote-Sitzungen über TLS-Transport mit AES-256-Sitzungsverschlüsselung. Ad-hoc-Sitzungen erfordern vor Beginn die ausdrückliche Zustimmung des Benutzers, während unbeaufsichtigter Zugriff vorab mit der vorherigen Zustimmung des Clients konfiguriert werden muss. Diese Zustimmung wird direkt im Sitzungsdatensatz festgehalten, anstatt sie nachträglich aus Ereignisprotokollen rekonstruieren zu müssen.
Da HelpWire Windows, macOS und Linux sowohl für Operatoren als auch für Clients unterstützt, ist derselbe Sitzungsverlauf unabhängig von den beteiligten Betriebssystemen verfügbar.
Häufig gestellte Fragen
Eingehende RDP-Protokolle sind in der Ereignisanzeige auf drei Bereiche verteilt: TerminalServices-LocalSessionManager für Sitzungsaktivitäten, TerminalServices-RemoteConnectionManager für Verbindungen auf Netzwerkebene und das Sicherheitsprotokoll für Authentifizierungsereignisse. Die Überprüfung aller drei ergibt das vollständige Bild.
Öffnen Sie TerminalServices-LocalSessionManager > Operational, filtern Sie nach Ereignis-ID 21, und sortieren Sie die Ergebnisse nach Datum. Jedes Ereignis enthält den Benutzernamen, die Sitzungs-ID und die Quellnetzwerkadresse. Sie können diese Ereignisse mit Einträgen im Sicherheitsprotokoll korrelieren, um zusätzliche Authentifizierungsdetails zu erhalten.
Die Ereignis-ID 1149 wird protokolliert, sobald die Anmeldeinformationen eines Remote-Clients über das Netzwerk validiert wurden. Wenn die Verbindung den Zielcomputer nie erreicht, die Anmeldeinformationen vorher abgelehnt werden oder das Protokoll TerminalServices-RemoteConnectionManager deaktiviert ist, sehen Sie das Ereignis nicht. Beachten Sie, dass 1149 die Überprüfung der Anmeldeinformationen bestätigt, nicht eine abgeschlossene Windows-Anmeldung.
Windows behält RDP-Protokolle, bis jedes Ereignisprotokoll seine konfigurierte maximale Größe erreicht. Sobald die Grenze erreicht ist, werden ältere Ereignisse überschrieben, es sei denn, die Einstellungen zur Protokollaufbewahrung werden geändert. Eine Erhöhung der Protokollgröße ermöglicht es, mehr Verlauf zu bewahren, macht die Protokolle jedoch nicht dauerhaft.
