Jede Anmeldung, Entsperrung oder Anmeldeabfrage über CodeB SmartLogin schreibt ein Ereignis in das Windows-Ereignisprotokoll CodeB Credential Provider V2: Ereignis-ID 1100 bei Erfolg und 1101 bei Fehlschlag. Jedes Ereignis erfasst Aktion, Konto, Kartenseriennummer, Methode, Computer, UTC-Zeit und Ergebnis — aber nie ein Passwort oder eine PIN. Bei Gemeinschaftskonten zeigt die Kartenseriennummer, welche Person sich angemeldet hat, an welchem PC und wann.
Was erfasst das CodeB-Anmelde-Audit?
Das CodeB-Anmelde-Audit schreibt für jede über CodeB SmartLogin durchgeführte Anmeldung, Entsperrung oder Anmeldeabfrage ein Ereignis. Die Ereignisse gehen in das Windows-Ereignisprotokoll CodeB Credential Provider V2 unter Anwendungs- und Dienstprotokolle. Das ergibt einen vollständigen, manipulationssicheren Nachweis, wer einen PC wann genutzt hat — ohne zusätzlichen Agenten.
Welche Ereignis-IDs und Felder werden verwendet?
| Ereignis-ID | Bedeutung |
|---|---|
1100 | Erfolgreich (Überwachung erfolgreich). |
1101 | Fehlgeschlagen (Überwachung Fehler) — enthält den Windows-Statuscode. |
Jedes Ereignis trägt diese Felder:
| Feld | Inhalt |
|---|---|
| Aktion | Anmeldung, Entsperrung oder Anmeldeabfrage. |
| Konto | Das Windows-Konto, das angemeldet oder entsperrt wurde. |
| Kartenseriennummer | Die Seriennummer der Karte (oder Telefonkarte), oder none. |
| Methode | Passwort von der Karte oder Zertifikat / Kerberos. |
| Computer | Der PC, an dem es geschah. |
| Zeit | UTC. |
| Ergebnis | Erfolg oder Fehlschlag mit dem Windows-Statuscode. |
Wie sammeln Sie die Ereignisse zentral?
Die Ereignisse lassen sich von allen PCs mit Windows-Ereignisweiterleitung oder einem beliebigen SIEM sammeln. Filtern Sie auf den Protokollnamen CodeB Credential Provider V2 und die Ereignis-IDs 1100 und 1101. Da es sich um ein normales Windows-Ereignis handelt, passt der Nachweis ohne zusätzlichen Agenten in bestehende Log-Pipelines.
Was wird nie geschrieben?
Es werden nie ein Passwort und nie eine PIN in das Audit geschrieben. Bei Gemeinschaftskonten ist die Kartenseriennummer die Kennung; bei Telefonkarten ist es die pseudonyme ID der Telefonkarte, nicht der Name des Mitarbeiters.
Ehrliche Grenzen
Das CodeB-Audit erfasst Anmeldungen, Entsperrungen und Anmeldeabfragen über CodeB SmartLogin. Anmeldungen über die eigene Smartcard-Kachel von Windows — zum Beispiel der Telefon-als-PKI-Smartcard-Weg, der ohne CodeB-Komponente auf dem PC läuft — werden stattdessen im Windows-Sicherheitsprotokoll erfasst, nicht in den Ereignissen 1100/1101.
Häufige Fragen
Wo sind die CodeB-Anmeldeereignisse?
Im Windows-Ereignisprotokoll CodeB Credential Provider V2 unter Anwendungs- und Dienstprotokolle. Ereignis-ID 1100 ist eine erfolgreiche Anmeldung/Entsperrung, 1101 eine fehlgeschlagene.
Kann ich erkennen, welche Person ein Gemeinschaftskonto genutzt hat?
Ja, wenn jede Person ihre eigene, für das Gemeinschaftskonto eingetragene Karte hat. Das Ereignis erfasst die Kartenseriennummer, sodass Sie sehen, welche Karte — und damit welche Person — sich angemeldet hat, an welchem PC und zu welcher Zeit.
Wird ein Passwort oder eine PIN in das Protokoll geschrieben?
Nein. Das Audit erfasst nie ein Passwort oder eine PIN. Es erfasst nur Aktion, Konto, Kartenseriennummer, Methode, Computer, UTC-Zeit und Ergebnis.
Wie leite ich die Ereignisse an ein SIEM weiter?
Nutzen Sie die Windows-Ereignisweiterleitung oder den Windows-Collector Ihres SIEM und filtern Sie auf den Protokollnamen CodeB Credential Provider V2 und die Ereignis-IDs 1100 und 1101.