Der Systemmonitor (in Kurzform "Sysmon") ist ein Windows-Systemdienst für die Überwachung und Protokollierung von Systemaktivitäten im Windows-Ereignisprotokoll. Das Protokoll enthält ausführliche Informationen zu Prozesserstellungen, Netzwerkverbindungen und Änderungen an der Dateierstellungszeit. Die Daten können vor allem IT-Administratoren bei der Analyse von Schwachstellen und Problemen hilfreich sein. Sysmon ist Teil von "Windows Sysinternals", einer Sammlung von System-Tools und ist nun als optionale Komponenten direkt im Betriebssystem integriert.

Das Sysmon-Protokoll ist in der Ereignisanzeige unter "Anwendungs- und Dienstprotokolle" > "Microsoft" > "Windows" > "Sysmon" > "Operational" zu finden.

So geht's (Benutzeroberfläche):

• "Start" > ("Alle") > "Windows-Tools" > "Systemsteuerung" (oder "control.exe" starten)
• Klicken Sie auf das Symbol "Programme und Features" (Ansicht "Symbole").
• Nun klicken Sie auf den Link "Windows-Features aktivieren oder deaktivieren" (oder "OptionalFeatures.exe" starten)
• Sysmon aktivieren / installieren:
  • Aktivieren Sie die Option "Sysmon".
  • Klicken Sie auf die Schaltfläche "OK".
  • Die erforderlichen Dateien werden bereitgestellt.
• Sysmon deaktivieren / deinstallieren:
  • Deaktivieren Sie die Option "Sysmon".
  • Klicken Sie auf die Schaltfläche "OK".
  • Die Dateien und Einstellungen werden entfernt.

So geht's (Eingabeaufforderung):

• "Start" > ("Alle") > "Terminal" bzw. "Start" > ("Alle") > "Windows-Tools" > "Eingabeaufforderung" (oder "cmd.exe" starten)
• Sysmon aktivieren / installieren:
  • Als Befehl geben Sie 'DISM /Online /Enable-Feature /FeatureName:"Sysmon"' ein.
  • Drücken Sie die Eingabetaste.
  • Die erforderlichen Dateien werden bereitgestellt.
• Sysmon deaktivieren / deinstallieren:
  • Als Befehl geben Sie 'DISM /Online /Disable-Feature /FeatureName:"Sysmon"' ein.
  • Drücken Sie die Eingabetaste.
  • Die Dateien und Einstellungen werden entfernt.

So geht's (Treiber installieren / deinstallieren):

• "Start" > ("Alle") > "Terminal" bzw. "Start" > ("Alle") > "Windows-Tools" > "Eingabeaufforderung" (oder "cmd.exe" starten)
• Treiber installieren:
  • Als Befehl geben Sie "sysmon -i" ein.
  • Drücken Sie die Eingabetaste.
  • Der Sysmon-Treiber wird installiert.
• Treiber deinstallieren:
  • Als Befehl geben Sie "sysmon -u" ein.
  • Drücken Sie die Eingabetaste.
  • Der Sysmon-Treiber wird deinstalliert.

Hinweis:

• Für die Installation von Sysmon sind administrative Rechte erforderlich. Dazu klicken Sie mit der rechten Maustaste auf die Verknüpfung oder direkt auf die Anwendung und wählen im Kontextmenü die Option "Als Administrator ausführen" aus.

Versionshinweise:

• Diese Einstellung gilt erst ab Windows 11 Version 24H2 mit Update KB5077241 (Vorschau März 2026).
• Für alle anderen Betriebssysteme und Versionen muss Sysmon manuell heruntergeladen und installiert werden:
  https://learn.microsoft.com/de-de/sysinternals/downloads/sysmon