Team Data GmbH - IT-Systemhaus Osnabrück Logo
WhatsApp
0541 50798808
Fernwartung

Server-Monitoring: diese Werte gehören überwacht

Kurz gesagt: Ein Server-Monitoring sollte mindestens Erreichbarkeit, Dienste, CPU, Arbeitsspeicher, freien Speicherplatz, Datensicherung, Updates, Hardwarezustand und sicherheitsrelevante Ereignisse überwachen und bei Fehlern oder überschrittenen Grenzwerten jemanden alarmieren. Das BSI behandelt Server im IT-Grundschutz-Kompendium im Baustein SYS.1.1 Allgemeiner Server und nennt auf seiner Seite zur Ransomware-Detektion konkrete Ereignisse, die Admins im Blick haben sollten.

Stand: 03.11.2026

Warum reicht es nicht, auf Fehlermeldungen zu warten?

Die meisten Serverausfälle kündigen sich an: Eine Festplatte meldet Fehler, der Speicherplatz wird knapp, die Sicherung schlägt seit Tagen fehl. Wer das erst merkt, wenn die Mitarbeitenden nicht mehr arbeiten können, hat den einfachen Zeitpunkt zum Eingreifen verpasst. Wir empfehlen deshalb, jeden Server in eine laufende Überwachung einzubinden, die Systemzustand, Funktionsfähigkeit und Dienste prüft und Fehler sowie überschrittene Grenzwerte sofort an die zuständigen Techniker meldet.

Der Baustein SYS.1.1 Allgemeiner Server (Edition 2023) hat laut BSI das Ziel, Informationen zu schützen, die auf Servern verarbeitet, angeboten oder darüber übertragen werden, ebenso wie die Dienste, die ein Server bereitstellt. Für ein kleines Unternehmen mit einem oder zwei Servern ist die folgende Checkliste unsere praktische Übersetzung dieses Ziels.

Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.

Checkliste: diese Werte gehören überwacht

  1. Erreichbarkeit: Antwortet der Server auf Ping und auf seinen Diensten (SMB, RDP, HTTP, SQL)? Das ist der einfachste Wert, aber ohne ihn bleibt alles andere blind.
  2. Dienste und Prozesse: Laufen die Dienste, die der Server bereitstellen soll, etwa Dateidienst, Datenbank, Druckwarteschlange, Backup-Agent? Ein gestoppter Dienst bei laufendem Server ist der häufigste Fall, den Benutzer als Ausfall melden.
  3. CPU-Auslastung: Dauerhaft hohe Last über Minuten, nicht nur kurze Spitzen. Sie deutet auf hängende Prozesse, fehlende Ressourcen oder Schadsoftware hin.
  4. Arbeitsspeicher: Freier RAM und Auslagerung. Beginnt der Server zu swappen, wird er für alle langsam.
  5. Speicherplatz: Freier Platz auf jedem Volume, nicht nur auf C:. Volllaufende Datenträger stoppen Datenbanken, Exchange und Sicherungen. Grenzwerte in Prozent und in absoluten Gigabyte setzen, denn 10 Prozent von 8 TB sind etwas anderes als 10 Prozent von 120 GB.
  6. Datensicherung: Ist die letzte Sicherung erfolgreich durchgelaufen, und wie alt ist sie? Ein Monitoring, das die Sicherung nicht prüft, ist aus unserer Sicht unvollständig. Das BSI empfiehlt außerdem, Aufrufe von vssadmin.exe zu überwachen, mit denen Angreifer Schattenkopien löschen, und auch wbadmin und bcdedit im Blick zu behalten.
  7. Updates: Fehlende Sicherheitsupdates und ausstehende Neustarts. Ein Server, der seit Wochen auf einen Neustart wartet, hat die Updates nur halb installiert.
  8. Hardware: RAID-Status, SMART-Werte der Datenträger, Netzteile, Lüfter und Temperaturen. Ein ausgefallenes RAID-Mitglied fällt ohne Monitoring oft erst beim Ausfall der zweiten Platte auf.
  9. Stromversorgung: Zustand und Akkuladung der USV. Wir empfehlen, jeden Server an eine USV anzuschließen und diese mit zu überwachen, damit ein alternder Akku auffällt, bevor der nächste Stromausfall kommt.
  10. Zertifikate und Ablaufdaten: Ablaufende Zertifikate für Exchange, Webserver oder VPN, bevor sie zu Verbindungsfehlern führen.
  11. Virenschutz: Ist der Virenschutz auf dem Server aktiv und aktuell? Das BSI rät, Änderungen an den Einstellungen von Microsoft Defender zu erkennen, etwa per PowerShell-Befehl Set-MpPreference oder über die Registry, denn Angreifer schalten den Schutz gern zuerst ab.
  12. Sicherheitsrelevante Ereignisse: Siehe nächster Abschnitt.

Welche Ereignisse sollten protokolliert werden?

Wir empfehlen, auf jedem Server mindestens diese Ereignisse zu protokollieren, unabhängig von seiner Aufgabe:

  • Systemstarts und Neustarts
  • erfolgreiche und erfolglose Anmeldungen
  • fehlgeschlagene Berechtigungsprüfungen
  • blockierte Verbindungen, etwa durch die lokale Firewall
  • Einrichtung oder Änderung von Benutzern, Gruppen und Berechtigungen
  • Fehlermeldungen wie Hardwaredefekte oder überschrittene Kapazitätsgrenzen
  • Warnmeldungen von Sicherheitssystemen, etwa des Virenschutzes

Das BSI nennt auf seiner Seite zur Ransomware-Detektion einige Windows-Ereignisse ausdrücklich. Dazu gehören Remote-Desktop-Anmeldungen (Ereignis-ID 4624 mit Anmeldetyp 10) und fehlgeschlagene Anmeldungen (Ereignis-ID 4625), die auf Brute-Force-Versuche hinweisen können, sowie neu angelegte geplante Aufgaben (Ereignis-ID 4698). Prozessstarts lassen sich über Ereignis-ID 4688 oder Sysmon protokollieren.

Protokollieren allein reicht nicht, die Protokolle muss jemand lesen. In der Praxis heißt das: Die Monitoring-Lösung sammelt die Ereignisprotokolle zentral ein und wertet die wichtigen Ereignisse automatisch aus, zum Beispiel eine Häufung fehlgeschlagener Anmeldungen oder eine neue Mitgliedschaft in der Gruppe der Domänen-Admins.

Wie sollten Grenzwerte und Alarme eingestellt sein?

Ein Monitoring, das ständig Alarm schlägt, wird ignoriert. Deshalb empfehlen wir Grenzwerte in zwei Stufen: Warnung (zum Beispiel wenig freier Speicherplatz, Sicherung einen Tag alt) und kritisch (Datenträger fast voll, Sicherung seit drei Tagen fehlgeschlagen, Dienst gestoppt). Warnungen landen im Ticket für den nächsten Arbeitstag, kritische Meldungen erreichen sofort einen Menschen per E-Mail oder Push. Hinweise auf einen Angriff, etwa gelöschte Schattenkopien oder ein abgeschalteter Virenschutz, gehören immer in die kritische Stufe.

Was gehört noch dazu?

Monitoring ersetzt keine Redundanz. Bewährt hat sich für wichtige Server ein Wartungsvertrag mit kurzer Reaktionszeit für die Hardware und ein getestetes Backup, sonst weißt du zwar früh vom Problem, kannst es aber nicht schnell lösen. Außerdem sollte das Monitoring selbst überwacht werden: Meldet sich der Agent nicht mehr, muss auch das ein Alarm sein.

So unterstützen wir dich

Für unsere Managed-IT-Kunden in Osnabrück und Umgebung überwachen wir Server mit genau dieser Checkliste, lesen die Meldungen jeden Werktag und reagieren, bevor jemand im Unternehmen etwas merkt. Entfernter arbeiten wir per Fernwartung. Was Managed IT bei uns umfasst, liest du auf der Seite Managed IT für Unternehmen. Für Managed IT gibt es planbare Monatspauschalen, Projekte rechnen wir nach Aufwand ab.

Häufige Fragen

Reicht das Windows-Ereignisprotokoll als Monitoring?

Nein. Es protokolliert zwar, aber niemand wird benachrichtigt. Monitoring heißt, die Werte laufend auszuwerten und bei Grenzwertüberschreitung jemanden zu alarmieren.

Brauche ich Monitoring auch bei nur einem Server?

Gerade dann. Ein einzelner Server ist ein einzelner Ausfallpunkt, und fällt er aus, steht meist das ganze Unternehmen.

Wie oft sollten die Werte geprüft werden?

Das Monitoring prüft laufend, meist im Minutentakt. Ein Mensch sollte die Übersicht mindestens einmal pro Werktag ansehen, kritische Alarme kommen sofort.

Was ist mit virtuellen Servern?

Für sie gilt die Checkliste genauso. Zusätzlich sollte der Virtualisierungshost überwacht werden, denn seine Hardware trägt alle virtuellen Maschinen.

Quellen