Search-UnifiedAuditLog wird im Oktober 2027 abgeschaltet

Worum es geht

Microsoft stellt die Abfrage des Überwachungsprotokolls aus Microsoft Purview auf eine neue Schnittstelle um. Die AuditLogQuery-API in Microsoft Graph ist allgemein verfügbar, das bisher verbreitete PowerShell-Cmdlet Search-UnifiedAuditLog wird abgeschaltet. Laut Microsoft stößt das Cmdlet bei großen Datenmengen an Grenzen; Weiterentwicklungen gibt es nur noch für die neue API.

Zeitplan

• Seit Anfang Oktober 2026: AuditLogQuery-API allgemein verfügbar
• Bis 15. Oktober 2027: Search-UnifiedAuditLog funktioniert unverändert weiter
• 15. Oktober 2027: Das Cmdlet liefert keine Daten aus dem Überwachungsprotokoll mehr

Wer betroffen ist

• Organisationen, die Search-UnifiedAuditLog für Berichte, Untersuchungen, Compliance-Abläufe oder Automatisierungen nutzen
• Organisationen ohne solche Skripte müssen nichts tun

Was sich konkret ändert

• Skripte, Anwendungen und Automatisierungen mit Search-UnifiedAuditLog müssen auf die neue API umgestellt werden.
• Eine Mandanteneinstellung, die die Abschaltung verhindert, gibt es nicht.
• Die neue API kann bis zu eine Million Einträge je Abfrage exportieren und bietet feiner abgestufte Berechtigungen.
• Je Mandant gelten Grenzen von grundsätzlich 200 Suchaufträgen in 24 Stunden und bis zu 50 gleichzeitig laufenden oder wartenden Suchen.

So bereiten Sie sich vor

• Ermitteln Sie Skripte, Werkzeuge und Abläufe, die Search-UnifiedAuditLog aufrufen, auch bei Ihrem IT-Dienstleister.
• Registrieren Sie eine Anwendung in Microsoft Graph mit den nötigen Berechtigungen.
• Stellen Sie die Abfragen auf die AuditLogQuery-API um und testen Sie sie vor Oktober 2027.

Weiterführende Informationen

• auditLogQuery-Ressource in Microsoft Graph (Microsoft Learn)
• Überwachungslösungen in Microsoft Purview (Microsoft Learn)
• Search-UnifiedAuditLog (Microsoft Learn)