Ereignis-ID 4726: Ein Benutzerkonto wurde gelöscht [Fix]

Aktivieren Sie die Überwachung mithilfe der ADSI-Bearbeitung, wenn Sie diese Ereignis-ID erhalten

Einige unserer Leser beschweren sich über das Windows-Sicherheitsereignis 4726 im Domänencontroller. Das Ereignisprotokoll zeigt an, dass ein Benutzerkonto gelöscht wurde, und weitere Details zum aufgezeichneten Ereignis. In dieser Anleitung erfahren Sie jedoch, wie Sie die Ereignis-ID korrigieren.

Außerdem können Sie darüber lesen Ereignis-ID 7023 Fehler und einige Korrekturen, um das Problem unter Windows 11 zu beheben.

Was ist Ereignis 4726?

Die Ereignis-ID 4726 ist ein Windows-Sicherheitsereignis, das auf die Löschung eines Benutzerkontos hinweist. Wenn dieses Ereignis protokolliert wird, wurde ein Benutzerkonto aus dem Windows Active Directory entfernt oder gelöscht.

Dieses Ereignis wird normalerweise im Sicherheitsereignisprotokoll auf einem Windows-Domänencontroller aufgezeichnet.

Durch die Überwachung der Ereignis-ID 4726 können Systemadministratoren die Löschungen von Benutzerkonten in ihrem System verfolgen Überprüfen Sie die Windows-Domänenumgebung und identifizieren Sie alle nicht autorisierten oder verdächtigen Aktivitäten im Zusammenhang mit dem Benutzer Konten.

Was verursacht die Ereignis-ID 4726?

Verschiedene Faktoren können die Ereignis-ID 4726 verursachen. Hier sind einige häufige Szenarien, die dieses Ereignis auslösen können:

• Verwaltungsmaßnahmen – Ein Administrator oder Benutzer mit ausreichenden Rechten hat das Benutzerkonto absichtlich mithilfe von Active Directory-Tools oder PowerShell-Befehlen gelöscht.
• Ablauf des Kontos – Soll ein Benutzerkonto an einem bestimmten Datum oder nach einem bestimmten Zeitraum ablaufen, kann es bei Vorliegen der Ablaufbedingung automatisch vom System gelöscht werden.
• Kontobereinigung – Benutzerkonten können manchmal im Rahmen routinemäßiger Wartungs- oder Bereinigungsvorgänge gelöscht werden. Dies kann zum Entfernen inaktiver oder nicht verwendeter Konten aus der Active Directory-Umgebung dienen.
• Kündigung oder Abreise – Wenn ein Mitarbeiter eine Organisation verlässt, kann sein Benutzerkonto gelöscht werden, um den Zugriff auf Netzwerkressourcen zu widerrufen und die Sicherheit zu gewährleisten.
• Böswillige Aktivität – In unglücklichen Fällen von unbefugtem Zugriff oder Hacking-Versuchen ist ein Angreifer ausreichend Berechtigungen können Benutzerkonten löschen, um den Betrieb zu stören, ihre Spuren zu verwischen oder Schaden zu verursachen Organisation.

Diese Faktoren können auf verschiedenen Computern variieren. Unabhängig davon werden wir einige grundlegende Korrekturen zur Behebung des Problems besprechen.

Was kann ich tun, wenn ich die Ereignis-ID 4726 sehe?

1. Aktivieren Sie die Überwachung mithilfe der ADSI-Bearbeitung

1. Drücken Sie Windows + R Tasten zum Öffnen Laufen Dialogfeld, geben Sie ein ADSIEdit.msc, und drücke Eingeben, um die Active Directory Service Interface (ADSI)-Konsole zu öffnen.
2. Klicken Sie mit der rechten Maustaste auf ADSI-Bearbeitung Option oben links und wählen Sie dann aus Verbunden mit aus dem Dropdown-Menü.
3. Klicken Sie im Fenster „Verbindungseinstellungen“ auf Wählen Sie einen bekannten Namenskontext Option und wählen Sie Standard-Benennungskontext im Dropdown-Menü und klicken Sie dann auf OK.
4. Erweitere das Standard-Benennungskontext Option, klicken Sie mit der rechten Maustaste auf DC=www, DC=domain, DC=com, und wählen Sie Eigenschaften aus dem Kontextmenü.
5. Gehe zum Sicherheit Tab und klicken Sie Fortschrittlich um das zu öffnen Erweiterte Sicherheitseinstellungen.
6. Wähle aus Wirtschaftsprüfung Tab und klicken Sie Hinzufügen um den Überwachungseintrag für die Benutzer hinzuzufügen, deren Aktionen Sie überwachen möchten.
7. Klicken Sie dann auf Wählen Sie einen Auftraggeber aus Möglichkeit.
   
8. Gehe zum Geben Sie den Objektnamen ein Eintrag und Typ Alle, drücke den Überprüfen Sie die Namen Klicken Sie auf die Schaltfläche, um den Namen zu überprüfen, und klicken Sie dann auf OK.
9. Auf der Prüfungseintrag Klicken Sie im Fenster auf Typ Option und wählen Sie Alle aus dem Dropdown-Menü.
10. Klicken Gilt zu und auswählen Dieses Objekt und alle untergeordneten Objekte aus dem Dropdown-Menü.
11. Aktivieren Sie die Kontrollkästchen für die folgenden Elemente: Volle Kontrolle,Inhalt auflisten, Lesen Sie alle Eigenschaften, Und Leseberechtigungen, und klicken Sie dann auf OK Taste.
12. Auf der Erweiterte Sicherheitseinstellungen, drücke den Anwenden Und OK Tasten.
13. Schließen Sie das ADSI-Bearbeitungsfenster.

Wenn Sie die Ereignis-ID 4726 erhalten, müssen Sie die gelöschten Benutzer- und Computerkonten nachverfolgen. Dies muss durch Aktivieren der Überwachung im Active Directory Service Interface (ADSI) erfolgen.

2. Verwenden Sie die Ereignisanzeige, um gelöschte Benutzerkonten und Computer in AD zu überprüfen

1. Links Klick Start Geben Sie im Windows-Menü Folgendes ein: Ereignisanzeige, und drücke Eingeben.
2. Jetzt geh zu Windows-Protokolle und auswählen Sicherheit.
3. Suchen Sie nach dem Ereignis-ID 4726 (AD-Benutzer/Konto gelöschte Ereignis-ID) und Ereignis-ID 4743 (Ereignis-ID für gelöschtes Computerkonto), um die gelöschten Benutzer- und Computerkonten zu identifizieren.
4. Scrollen Sie dann nach unten, um das zu finden Konten, Computerobjekte und Computerkonten gelöscht.

Sobald Sie die Überwachung aktiviert haben, protokolliert die Ereignisanzeige gelöschte Computer- und Benutzerobjekte.

Lesen Sie mehr zu diesem Thema

• USB-Laufwerk zeigt falsche Größe an? Beheben Sie das Problem in 2 Schritten
• Fix: Sie können diese Änderung nicht vornehmen, da die Auswahl gesperrt ist
• Fix: Speicherintegrität kann aufgrund von Ftdibus.sys nicht aktiviert werden

3. Verwenden Sie PowerShell, um zu erkennen, wer das Konto gelöscht hat

1. Klicken Sie mit der linken Maustaste auf Windows Symbol, Typ Power Shell, und klicken Sie Als Administrator ausführen.
2. Geben Sie dann Folgendes ein und drücken Sie Eingeben: Get-EventLog -LogName-Sicherheit | Where-Object {$_.EventID -eq 4726} | Select-Object-Property *
3. Suchen Sie unten nach dem gelöschten Benutzerkonto Nachricht > Betreff. Der Kontoname und die Sicherheits-ID des Benutzers, der den Löschvorgang für den Zielbenutzer durchgeführt hat, werden angezeigt.

Abschließend haben wir eine umfassende Anleitung dazu Löschen Sie das Ereignisprotokoll auf Windows-Computern. Lesen Sie auch, was Ereignis-ID 4769 ist und wie man es beheben kann.

Wenn Sie weitere Fragen oder Anregungen haben, hinterlassen Sie diese bitte im Kommentarbereich.