# Dateioperationsdatensätze Canonical: https://www.nsecsoft.com/de/docs/ping64-data-security/dlp/file-tracing/file-operation-records/ Language: de-DE Updated: 2026-11-15T03:46:26.906592Z **Flow Trace** erfasst Hinweise zu Dateioperationen und Dateibewegungen und unterstützt die Untersuchung der Nutzung und Weitergabe von Dateien auf Endpunkten. **File Activity** zeigt zugehörige Aufzeichnungen, die die Plattform empfangen hat und die der aktuelle Administrator sehen darf. Die Erfassungsbedingungen werden hier am Beispiel von Windows-Endpunkten beschrieben. Andere Plattformen und konkrete Operationen müssen separat geprüft werden. Nachverfolgung und Durchsetzung der Dateisicherheit haben unterschiedliche Zwecke. Die Aktivierung der Nachverfolgung blockiert externe Übertragungen nicht automatisch und garantiert keine vollständige Rekonstruktion aller Vorgänge. Ein leeres Suchergebnis beweist nicht, dass die betreffenden Vorgänge nicht stattgefunden haben. Die folgenden Schritte verwenden die englischen Bezeichnungen der Verwaltungskonsole. Die vollständige Konfiguration finden Sie unter [Richtlinie zur Dateiaktivitätsverfolgung](https://www.nsecsoft.com/de/docs/ping64-data-security/dlp/file-tracing/flow-tracing-policy/). Für die Abfrage vorhandener Datensätze können Sie mit dem entsprechenden Leserecht direkt zu den Abfrageschritten unten gehen. Sie müssen nicht allein für die Abfrage eine Richtlinie erstellen oder Testereignisse erzeugen. Prüfen Sie für die Validierung neuer Datensätze zuerst die bestehende zutreffende Richtlinie; nur bei Bedarf ändert eine Person mit Richtlinienverwaltungsrecht diese vor dem Pilottest. ## Vor der Konfiguration - Für die Anzeige und den Export sind die jeweiligen Audit-Lese- bzw. Exportrechte erforderlich. Richtlinienänderungen erfordern die Verwaltungsberechtigung für **DLP**\-Richtlinien. Prüfen Sie bei neuen Testdatensätzen Anbindung und Lizenzierung der Endpunkte. - Für die Prüfung neuer Datensätze: Legen Sie Windows-Testendpunkte und die zu prüfende Operation fest, etwa das Kopieren oder Verschieben einer Testdatei ohne sensible Inhalte. Prüfen Sie bei mehreren Endpunkten jeweils den Client und den Geltungsbereich der Richtlinie. - Dateipfade, Konten und Aktivitätsdaten können sensible Informationen enthalten. Legen Sie Erfassungszweck, Zugriffsrechte, Speicherort und Aufbewahrungsdauer vorab nach den Vorgaben Ihrer Organisation fest. ## Flow Trace aktivieren Prüfen Sie für neue Datensätze zunächst unter den **DLP**\-Richtlinien die geltenden Endpunkte, die Gültigkeitszeit und den Schalter **Flow Trace**. Geeignete Einstellungen können weiterverwendet werden; nur bei Bedarf ändert und speichert eine berechtigte Person die Richtlinie und wartet auf Empfang und Anwendung. Der Schalter ersetzt keine Dateisicherheits-Blockierregeln. Die vollständigen Schritte stehen unter [Flow-Trace-Richtlinie](https://www.nsecsoft.com/de/docs/ping64-data-security/dlp/file-tracing/flow-tracing-policy/). ## Erfassung prüfen und suchen Beginnen Sie bei bestehenden Datensätzen mit Schritt 2; Schritt 1 dient nur der Prüfung neuer Datensätze. 1. Für die Prüfung eines neuen Datensatzes: Prüfen Sie, ob der Testendpunkt online ist, der Client läuft und die Richtlinie empfangen wurde. Kopieren oder verschieben Sie eine Testdatei im Rahmen einer von Ihrer Organisation erlaubten Prüfung und notieren Sie Zeit, Endpunkt, Quelle und Ziel. 2. Bei neuen Datensätzen warten Sie zunächst auf Verarbeitung und Übertragung. Öffnen Sie unter **DLP** die Ansicht **File Activity**. Wählen Sie den Datumsbereich und geben Sie bei Bedarf Suchbegriffe ein. Prüfen Sie den Zeitraum anhand der Ereigniszeit und der Zeitzone Ihrer Organisation. 3. Grenzen Sie die Ergebnisse mit verfügbaren Filtern ein, etwa Gruppe, Endpunkt, Quellpfad, Zielpfad, Operationstyp, Wechseldatenträgertyp oder Dateigröße. Beachten Sie die Hinweise der Oberfläche zum jeweiligen Abgleich. 4. Prüfen Sie verfügbare Angaben zu Endpunkt, Konto, Operation, Pfad, Dateigröße und Zeit und wechseln Sie bei Bedarf die Seite. Gleichen Sie die Ergebnisse mit dem untersuchten oder getesteten Vorgang und weiteren Nachweisen ab. Bei einer Untersuchung, ob eine Datei auf einen Wechseldatenträger kopiert wurde, können Sie beispielsweise zunächst Zeitraum und Endpunkt wählen und anschließend Operation, Pfade und Speichermedium kombinieren. Die Ergebnisse zeigen nur erfasste und für das aktuelle Konto sichtbare Aufzeichnungen. Sie beweisen für sich genommen weder einen Datenabfluss noch rekonstruieren sie den gesamten Ablauf. ## Details und Nachverfolgung prüfen Öffnen Sie die Details einer Aufzeichnung und prüfen Sie Operations- und Endpunktinformationen. Wenn die Oberfläche eine Dateiflussansicht anbietet, können Sie die vom System zuordenbaren Hinweise und die verfügbaren Ansichten der Knoten prüfen. Nicht jede Aufzeichnung ergibt eine vollständige Nachverfolgung. Fehlende Zuordnungsinformationen, nicht verfügbare Aufzeichnungen oder Suchfehler können leere Ergebnisse oder Meldungen verursachen. Prüfen Sie bei endpunktübergreifenden Untersuchungen Client, Richtlinie und Übertragungsstatus jedes Endpunkts und berücksichtigen Sie weitere Nachweise. **File Activity für einen Endpunkt prüfen:** Das Gerät in der Endpunktliste suchen, in den Details **Apps** öffnen, bei **Audit records** **Open window** und dann **File Activity** wählen. Endpunkt, Datum, Suchbegriff und Seiten prüfen. Das Fenster umfasst zunächst heute und die vorherigen 29 Tage; dies kann von der Funktionsseite abweichen. Dieser Zugang aktiviert keine Erfassung; auch ein Abfragefehler kann die Liste leeren. Rechte, Netzwerk und Meldung prüfen; eine leere Liste beweist keine fehlende Aktivität. Die Exportschaltfläche dieses Fensters exportiert keine Datensätze. Benötigte Unterlagen gemäß Organisationsverfahren anderweitig beschaffen. ## Export und Fehlerbehebung Administratoren mit Exportberechtigung können die Exportfunktion der Liste verwenden. Der Export berücksichtigt den aktuellen Datumsbereich, Suchbegriff und Filter und ist nicht auf die angezeigte Seite beschränkt. Prüfen Sie Umfang und Inhalt der Datei und schützen Sie Konto-, Endpunkt- und Pfadinformationen. Ein einzelner Export unterstützt höchstens `50,000` Datensätze. Wird diese Grenze überschritten, schlägt der Export fehl und wird nicht automatisch aufgeteilt. Grenzen Sie Zeitraum oder Filter ein und exportieren Sie in mehreren Teilen. Prüfen Sie Zeitgrenzen und Datensatzumfang der Teile auf Lücken und Duplikate. - **Liste ist leer:** Prüfen Sie den Nachverfolgungsschalter, Zielbereich, Richtlinienempfang und Datenübertragung sowie Datum, Filter, Verwaltungsbereich und Meldungen. Auch ein Suchfehler kann eine leere Liste verursachen. - **Aufzeichnung oder Nachverfolgung ist unvollständig:** Prüfen Sie Zuordnungsinformationen sowie die Verfügbarkeit der beteiligten Endpunkte und Aufzeichnungen. Eine leere Kette belegt nicht, dass keine weiteren Vorgänge stattfanden. - **Externe Übertragung soll blockiert werden:** Nachverfolgung ist keine Blockierregel. Konfigurieren Sie geeignete Dateisicherheitskontrollen separat und prüfen Sie deren tatsächliche Wirkung. - **Export enthält eine andere Anzahl als die aktuelle Seite:** Prüfen Sie Exportbedingungen und Umfang. Der Export ist nicht auf die aktuelle Seite beschränkt.