Maximale Protokolldateigröße (KB) angeben
Diese Computerrichtlinie begrenzt die maximale Größe des Windows-Sicherheitsprotokolls.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\Software\Policies\Microsoft\Windows\EventLog\Security\MaxSize
Diese Computerrichtlinie begrenzt die maximale Größe des Windows-Sicherheitsprotokolls. MaxSize ist ein Wert vom Typ REG_DWORD; seine Wertdaten geben die Größe in Kilobyte an.
Für diese Richtlinie unterstützt Microsoft Werte von 20480 KB (20 MB) bis 2147483647 KB (2 TB). Ist die Richtlinie nicht wirksam, verwendet Windows die lokal konfigurierte maximale Größe. Microsoft nennt dafür einen Standardwert von 20 MB, wobei die lokale Konfiguration davon abweichen kann.
Die Einstellung bestimmt weder, welche Sicherheitsereignisse protokolliert werden, noch das Verhalten bei einem vollen Protokoll. Diese Aspekte werden durch Überwachungs- und Aufbewahrungseinstellungen gesteuert.
Hinweise
Sicherheit
Die Größe des Sicherheitsprotokolls beeinflusst, wie lange sicherheitsrelevante Ereignisse für Überwachung, Untersuchung und forensische Auswertung verfügbar bleiben können. Ein im Verhältnis zum Ereignisaufkommen zu kleiner Wert führt dazu, dass das Protokoll seine Kapazitätsgrenze häufiger erreicht.
Was anschließend geschieht, hängt vom Aufbewahrungsmodus ab: Bei zulässigem Überschreiben ersetzen neue Ereignisse die jeweils ältesten Einträge. Wenn vorhandene Ereignisse beibehalten werden müssen, verwirft Windows nach Erreichen der maximalen Größe neu eintreffende Ereignisse. Die Größenbegrenzung allein schützt Ereignisse daher weder vor dem Überschreiben noch garantiert sie deren vollständige Aufzeichnung.
Mögliche Nebenwirkungen
Ein größerer Grenzwert erhöht den maximal möglichen Speicherplatzbedarf der Sicherheitsprotokolldatei. Ein kleinerer Grenzwert kann den verfügbaren Ereigniszeitraum verkürzen oder – bei aktivierter Aufbewahrung ohne Überschreiben – dazu führen, dass die Kapazitätsgrenze früher erreicht und neue Ereignisse verworfen werden.
Hinweise
Der Richtlinienwert unter HKLM\Software\Policies\Microsoft\Windows\EventLog\Security wird in Kilobyte angegeben. Er ist nicht mit dem gleichnamigen MaxSize-Wert unter den Laufzeitschlüsseln des Ereignisprotokolldiensts gleichzusetzen, den die Win32-Dokumentation in Byte beschreibt.
Die tatsächliche Aufbewahrungsdauer hängt nicht nur von der maximalen Dateigröße ab, sondern auch vom Ereignisaufkommen sowie von den separat festgelegten Überschreib-, Aufbewahrungs- und Sicherungseinstellungen.
Microsoft-Dokumentation
Microsoft Learn: Richtlinien-CSP – EventLogService – SpecifyMaximumFileSizeSecurityLog
Microsoft Learn: wevtutil – Verhalten bei erreichter maximaler Protokollgröße