Fehlgeschlagene Anmeldungen in Windows anzeigen und richtig einordnen

4625

Hat jemand versucht, sich an Deinem Computer anzumelden?

Windows führt ein umfangreiches Sicherheitsprotokoll. Darin können unter anderem erfolgreiche und fehlgeschlagene Anmeldungen aufgezeichnet werden.

Für uns sind vor allem zwei Ereignis-IDs interessant:

• 4625 – eine Anmeldung ist fehlgeschlagen
• 4624 – eine Anmeldung war erfolgreich

Dabei ist allerdings wichtig, was Windows unter einer „Anmeldung“ versteht.

Eine Anmeldung muss nicht bedeuten, dass eine Person vor Deinem Computer sitzt und auf dem Windows-Anmeldebildschirm ein Kennwort eingibt. Auch Zugriffe über das Netzwerk, Remote Desktop, Dienste oder Programme können Anmeldevorgänge auslösen.

Deshalb musst Du bei einem Ereignis immer auch den Anmeldetyp und die weiteren Angaben berücksichtigen.

Was bedeutet Ereignis-ID 4625?

Windows verwendet die Ereignis-ID 4625, wenn eine Anmeldung fehlgeschlagen ist.

Das Ereignis wird grundsätzlich auf dem Computer protokolliert, auf dem der Anmeldeversuch stattgefunden hat.

Das kann beispielsweise Dein eigener PC sein, wenn:

• am Windows-Anmeldebildschirm ein falsches Kennwort eingegeben wurde,
• ein anderer Computer auf eine Freigabe zugreifen wollte,
• Remote Desktop verwendet wurde,
• ein Dienst mit falschen Zugangsdaten gestartet werden sollte,
• eine geplante Aufgabe veraltete Zugangsdaten verwendet,
• ein Programm versucht, sich mit gespeicherten Zugangsdaten anzumelden.

Damit ist 4625 zunächst nur die Aussage:

Eine Anmeldung ist fehlgeschlagen.

Warum sie fehlgeschlagen ist und woher sie kam, musst Du anhand der Details des Ereignisses beurteilen.

Ereignisanzeige öffnen

Am einfachsten öffnest Du die Ereignisanzeige über die Windows-Suche.

1. Öffne das Startmenü.
2. Gib

Ereignisanzeige

ein.
3. Öffne das gefundene Programm.

Alternativ kannst Du mit der Tastenkombination [Windows] + [R] das Fenster Ausführen öffnen und folgenden Befehl eingeben:

eventvwr.msc

Bestätige anschließend mit der Enter-Taste.

Öffne links:

Windows-Protokolle → Sicherheit

Im Sicherheitsprotokoll befinden sich zahlreiche Ereignisse. Deshalb solltest Du nicht versuchen, die Liste manuell nach fehlgeschlagenen Anmeldungen zu durchsuchen.

Nur fehlgeschlagene Anmeldungen anzeigen

Markiere links das Protokoll Sicherheit.

Klicke anschließend auf der rechten Seite auf:

Aktuelles Protokoll filtern

Trage in das Feld für die Ereignis-IDs ein:

4625

Bestätige den Filter mit OK.

Jetzt zeigt Dir Windows nur noch die im Protokoll vorhandenen Ereignisse mit der ID 4625 an.

Du kannst zusätzlich über den Zeitraum des Filters beispielsweise nur Ereignisse der letzten Stunden oder Tage anzeigen lassen.

Möchtest Du später wieder alle Sicherheitsereignisse sehen, kannst Du den Filter über Filter löschen entfernen.

Ereignis 4625 richtig lesen

Öffne ein Ereignis mit einem Doppelklick.

Die Ereignisanzeige enthält sehr viele technische Angaben. Für eine erste Einschätzung benötigst Du nur einige davon.

Kontoname

Suche nach dem Bereich für das Konto, für das die Anmeldung fehlgeschlagen ist.

Der dort angezeigte Kontoname verrät Dir, mit welchem Benutzerkonto die Anmeldung versucht wurde.

Bei einem lokalen Benutzerkonto kann zusätzlich der Name Deines Computers als Kontodomäne erscheinen.

Beachte dabei, dass ein Windows-Sicherheitsereignis mehrere Kontonamen enthalten kann. Entscheidend ist der Bereich für das Konto, dessen Anmeldung fehlgeschlagen ist.

Fehlerursache

Unter Fehlerinformationen findest Du häufig bereits eine verständliche Fehlerursache.

Das kann beispielsweise bedeuten:

• Benutzername unbekannt oder falsch
• Kennwort falsch
• Konto deaktiviert
• Konto gesperrt
• Konto abgelaufen
• gewünschte Anmeldeart nicht erlaubt

Diese Angabe solltest Du zuerst betrachten.

Status und Substatus

Zusätzlich zeigt Windows häufig Werte wie Status und Substatus an.

Dabei handelt es sich um technische Fehlercodes.

Einige häufige Beispiele sind:

Du musst diese Codes normalerweise nicht auswendig kennen. Meist reicht zunächst die angezeigte Fehlerursache.

Interessant werden Status und Substatus vor allem dann, wenn Du einen ungewöhnlichen oder wiederkehrenden Anmeldefehler genauer untersuchen möchtest.

Der Anmeldetyp ist besonders wichtig

Eines der wichtigsten Felder in Ereignis 4625 ist:

Anmeldetyp

Die Zahl zeigt Dir, welche Art von Anmeldung versucht wurde.

Die wichtigsten Anmeldetypen

Für einen privaten Windows-Computer sind vor allem die Typen 2, 3 und 10 interessant.

Anmeldetyp 2 – Interactive

Typ 2 spricht für eine interaktive Anmeldung am Computer.

Das kann beispielsweise eine klassische Anmeldung über den Windows-Anmeldebildschirm sein.

Wenn Du genau zu diesem Zeitpunkt selbst ein falsches Kennwort eingegeben hast, ist das Ereignis in der Regel leicht zu erklären.

Anmeldetyp 3 – Network

Typ 3 bedeutet eine Anmeldung über das Netzwerk.

Das wird häufig falsch interpretiert.

Ein solcher Eintrag bedeutet nicht, dass jemand vor Deinem Computer stand und ein Kennwort eingegeben hat.

Mögliche Ursachen sind beispielsweise:

• Zugriff auf eine Windows-Freigabe
• Zugriff von einem anderen PC im Heimnetz
• gespeicherte Zugangsdaten
• Netzlaufwerke
• Programme mit hinterlegten Zugangsdaten
• andere automatische Netzwerkzugriffe

Gerade bei Typ 3 solltest Du deshalb zusätzlich die Quellnetzwerkadresse und den Arbeitsstationsnamen betrachten.

Anmeldetyp 4 – Batch

Dieser Anmeldetyp kann beispielsweise von automatisierten Aufgaben verwendet werden.

Eine geplante Aufgabe, in der noch ein altes Kennwort gespeichert ist, kann deshalb regelmäßig fehlgeschlagene Anmeldungen erzeugen.

Anmeldetyp 5 – Service

Typ 5 gehört zu Windows-Diensten.

Wurde das Kennwort eines Benutzerkontos geändert, das gleichzeitig von einem Dienst verwendet wird, kann der Dienst anschließend mit den alten Zugangsdaten scheitern und entsprechende Ereignisse erzeugen.

Anmeldetyp 7 – Unlock

Dieser Typ steht für das Entsperren einer bereits vorhandenen Windows-Sitzung.

Anmeldetyp 8 – NetworkCleartext

Bei diesem Anmeldetyp werden die Zugangsdaten dem Windows-Authentifizierungspaket in einer Form übergeben, die dort noch nicht gehasht ist.

Das bedeutet nicht automatisch, dass Dein Kennwort unverschlüsselt über das Netzwerk übertragen wurde.

Für die normale Fehlersuche auf einem privaten PC ist dieser Anmeldetyp eher selten relevant.

Anmeldetyp 9 – NewCredentials

Dabei verwendet ein bereits laufender Prozess andere Zugangsdaten für ausgehende Netzwerkverbindungen.

Ein Beispiel dafür können bestimmte Varianten von runas sein.

Anmeldetyp 10 – RemoteInteractive

Typ 10 steht insbesondere für eine Anmeldung über Remote Desktop.

Wenn Du Remote Desktop nicht verwendest und wiederholt unbekannte Anmeldeversuche mit diesem Typ findest, solltest Du genauer prüfen, woher diese Versuche stammen.

Anmeldetyp 11 – CachedInteractive

Dieser Typ betrifft hauptsächlich Computer in Unternehmensnetzwerken.

Dabei werden bereits lokal gespeicherte Domänen-Anmeldedaten verwendet, wenn beispielsweise der zuständige Domänencontroller gerade nicht erreichbar ist.

Für einen typischen privaten PC ist dieser Typ normalerweise weniger relevant.

Woher kam der Anmeldeversuch?

Bei manchen Ereignissen findest Du unter Netzwerkinformationen Angaben wie:

• Arbeitsstationsname
• Quellnetzwerkadresse
• Quellport

Besonders interessant ist die Quellnetzwerkadresse.

Sie kann anzeigen, von welchem Gerät der Anmeldeversuch kam.

Lokaler Computer

Adressen wie:

127.0.0.1

oder

::1

stehen für den eigenen Computer.

Der Anmeldeversuch kam dann nicht von einem anderen Gerät aus dem Internet.

Eigenes Heimnetz

Adressen wie beispielsweise:

192.168.x.x
10.x.x.x
172.16.x.x bis 172.31.x.x

werden typischerweise in privaten Netzwerken verwendet.

Findest Du dort beispielsweise die Adresse eines anderen Computers, NAS oder Geräts aus Deinem Heimnetz, kann dies den Anmeldeversuch bereits erklären.

Keine Adresse vorhanden

Nicht jedes Ereignis enthält eine brauchbare Quelladresse.

Je nach Anmeldetyp kann dort auch kein Wert oder nur ein Platzhalter stehen.

Eine fehlende IP-Adresse ist deshalb allein weder verdächtig noch ungewöhnlich.

Nicht jedes Ereignis 4625 ist ein Angriff

Dieser Punkt ist besonders wichtig.

Ein fehlgeschlagener Anmeldeversuch kann völlig harmlose Ursachen haben.

Typische Beispiele sind:

• Du hast selbst ein falsches Kennwort eingegeben.
• Dein Kennwort wurde geändert, aber ein Programm kennt noch das alte Kennwort.
• Ein Netzlaufwerk verwendet gespeicherte Zugangsdaten.
• Ein anderer Computer greift auf eine Freigabe zu.
• Eine geplante Aufgabe verwendet ein altes Kennwort.
• Ein Dienst wurde mit einem Benutzerkonto eingerichtet, dessen Kennwort inzwischen geändert wurde.
• Ein Programm versucht automatisch, auf eine Netzwerkressource zuzugreifen.
• Eine Remote-Verbindung wurde mit falschen Zugangsdaten gestartet.

Ein einzelnes Ereignis 4625 ist deshalb noch kein Beweis für einen Angriff.

Wann solltest Du genauer hinschauen?

Interessanter wird es, wenn mehrere ungewöhnliche Merkmale zusammenkommen.

Beispielsweise:

• sehr viele fehlgeschlagene Anmeldungen innerhalb kurzer Zeit,
• immer wieder derselbe unbekannte Kontoname,
• eine Dir unbekannte Netzwerkquelle,
• wiederholte Remote-Desktop-Anmeldungen mit Typ 10,
• Versuche zu Zeiten, zu denen niemand den Computer benutzt,
• viele Versuche von derselben unbekannten Quelle,
• wiederkehrende falsche Kennwörter für ein tatsächlich vorhandenes Benutzerkonto.

Auch solche Merkmale beweisen allein noch keinen Angriff.

Sie sind aber ein guter Grund, die Ursache genauer zu untersuchen.

Was kannst Du bei verdächtigen Anmeldeversuchen tun?

Prüfe zunächst, ob es eine harmlose Erklärung gibt.

Überlege beispielsweise:

• Hast Du kürzlich ein Kennwort geändert?
• Gibt es weitere Computer im Heimnetz?
• Verwendest Du Netzlaufwerke oder Windows-Freigaben?
• Läuft eine geplante Aufgabe unter Deinem Benutzerkonto?
• Verwendest Du Remote Desktop?
• Sind in Windows noch alte Zugangsdaten gespeichert?

Bleiben die Anmeldeversuche unerklärlich, kannst Du weitere Schritte durchführen.

Benutzerkonten kontrollieren

Prüfe, ob auf Deinem Computer Benutzerkonten vorhanden sind, die Du nicht kennst.

Kennwort ändern

Wenn ein tatsächlich verwendetes Benutzerkonto betroffen ist und die Ereignisse plausibel verdächtig sind, solltest Du dessen Kennwort ändern.

Verwendest Du ein Microsoft-Konto, solltest Du zusätzlich die Sicherheitsaktivitäten Deines Microsoft-Kontos kontrollieren.

Remote Desktop prüfen

Verwendest Du Remote Desktop nicht, sollte die Funktion auch nicht unnötig aktiviert sein.

Netzwerkfreigaben überprüfen

Kontrolliere, welche Ordner und Ressourcen Du in Deinem Netzwerk freigegeben hast.

Windows-Sicherheit verwenden

Führe bei einem begründeten Verdacht zusätzlich eine Überprüfung mit Windows-Sicherheit durch.

Eine komplette Neuinstallation von Windows ist wegen einzelner 4625-Ereignisse normalerweise nicht erforderlich.

Was ist mit erfolgreichen Anmeldungen?

Möchtest Du nicht nur fehlgeschlagene, sondern auch erfolgreiche Anmeldungen untersuchen, kannst Du im Sicherheitsprotokoll nach der Ereignis-ID

4624

filtern.

Aber auch hier gilt:

Ein Ereignis 4624 bedeutet nicht automatisch, dass sich eine Person am Windows-Anmeldebildschirm angemeldet hat.

Auch Netzwerkzugriffe, Dienste und andere Vorgänge können erfolgreiche Anmeldesitzungen erzeugen.

Achte deshalb auch bei Ereignis 4624 auf den Anmeldetyp.

Möchtest Du beispielsweise eine klassische Anmeldung direkt am Computer untersuchen, ist insbesondere Anmeldetyp 2 interessant.

Eine Remote-Desktop-Anmeldung verwendet normalerweise Anmeldetyp 10.

Was tun, wenn Du keine Ereignisse mit der ID 4625 findest?

Bei aktuellen Windows-10- und Windows-11-Systemen ist die Überwachung fehlgeschlagener Anmeldungen normalerweise bereits aktiviert.

Du solltest deshalb nicht vorsorglich irgendwelche Sicherheitsrichtlinien verändern, nur weil momentan kein Ereignis 4625 vorhanden ist.

Es kann schlicht bedeuten, dass im vorhandenen Zeitraum keine entsprechende fehlgeschlagene Anmeldung protokolliert wurde.

Weitere mögliche Gründe sind:

• ältere Einträge wurden bereits aus dem Sicherheitsprotokoll entfernt,
• die Überwachungsrichtlinie wurde manuell oder durch eine Richtlinie verändert,
• der Vorgang wurde über einen anderen Authentifizierungsmechanismus verarbeitet.

Überwachungsrichtlinie nur bei Bedarf prüfen

Unter Windows Pro und höher kann die lokale Sicherheitsrichtlinie mit

secpol.msc

geöffnet werden.

Dort findest Du die erweiterten Überwachungsrichtlinien unter:

Erweiterte Überwachungsrichtlinienkonfiguration → Systemüberwachungsrichtlinien → Anmelden/Abmelden → Anmeldung überwachen

Für fehlgeschlagene Anmeldeereignisse muss dort die Fehlerüberwachung berücksichtigt werden.

Ändere diese Einstellung jedoch nicht auf Verdacht, wenn Windows die gewünschten Ereignisse bereits protokolliert.

Windows Home

Bei Windows Home steht die Verwaltung über secpol.msc regulär nicht zur Verfügung.

Für diesen Artikel ist das normalerweise kein Problem, denn die Auswertung vorhandener Ereignisse über die Ereignisanzeige funktioniert unabhängig davon.

Installiere keine inoffiziellen Gruppenrichtlinien- oder Sicherheitsrichtlinien-Editoren nur für diese Aufgabe.

Was ist mit Windows Hello, PIN und Fingerabdruck?

Windows Hello funktioniert technisch anders als eine klassische Kennwortanmeldung.

Dazu gehören beispielsweise:

• Windows-Hello-PIN
• Gesichtserkennung
• Fingerabdruck

Du solltest deshalb nicht davon ausgehen, dass jeder falsche PIN-Versuch oder jede fehlgeschlagene biometrische Erkennung automatisch als normales Ereignis 4625 mit denselben Angaben erscheint.

Ereignis 4625 ist sehr nützlich, um von Windows protokollierte fehlgeschlagene Anmeldungen zu untersuchen.

Es ist aber kein universelles Protokoll aller denkbaren fehlgeschlagenen Windows-Hello-Versuche.

Fazit

Mit der Windows-Ereignisanzeige kannst Du recht genau untersuchen, ob fehlgeschlagene Anmeldungen auf Deinem Computer protokolliert wurden.

Der wichtigste Eintrag dafür ist die Ereignis-ID 4625.

Entscheidend ist jedoch nicht nur, dass ein solches Ereignis vorhanden ist. Erst Angaben wie:

• Kontoname,
• Fehlerursache,
• Anmeldetyp,
• Arbeitsstationsname
• und Quellnetzwerkadresse

helfen Dir dabei, den Vorgang richtig einzuordnen.

Besonders wichtig ist der Anmeldetyp. Ein Typ 3 kann beispielsweise lediglich durch einen normalen Netzwerkzugriff entstehen, während Typ 10 auf eine Remote-Desktop-Anmeldung hinweist.

Ein einzelner fehlgeschlagener Anmeldeversuch ist deshalb noch kein Grund zur Sorge.

Erst wenn mehrere ungewöhnliche Merkmale zusammenkommen oder sich bestimmte Fehlversuche ständig wiederholen, solltest Du die Ursache genauer untersuchen.