Windows Audit-Policy GPO

Wenn in einer Domäne Audit Policys (z.B. Audit logon Events) per GPO eingerichtet sind oder geändert werden, kann es u.U. vorkommen, dass die GPO zwar angewendet wird, aber die Audit Policy nicht greift.

Prüfen kann man die angewendeten Audit-Policys mit dem Befehl: auditpol
z.B. auditpol /get /category:*

Wenn diese Policys nicht mit der GPO übereinstimmen kann es an der audit.csv Datei liegen.
Diese ist im Sysvol auf dem Server zu finden. In meinem Beispiel unter: c:\Windows\SYSVOL\domain\Policies\{E5CE0EEC-72D5-4E08-96A4-85C0171F6A66}\Machine\microsoft\windows nt\Audit\audit.csv
Nachdem diese Datei gelöscht wurde und die Gruppenrichtlinien erneut angewendet wurden (gpupdate /force) wurden die Audit-Policys angewandt.