--- title: Gespeicherte Ereignisse aus Security posture mit aktuellen Ergebnissen abgleichen url: https://platform.claude.com/docs/de/manage-claude/compliance-security-posture/check-events-against-results description: Vergleiche einmal täglich die Aktivitäten zu Bestätigungen, die dein SIEM gespeichert hat, mit den aktuellen Ergebnissen des Endpunkts, und entscheide, welche Abweichungen eine Person brauchen. --- Wie du die Compliance API aktivierst, erfährst du unter [Compliance API einrichten](https://platform.claude.com/docs/de/manage-claude/compliance-api-access). Der Activity Feed kann eine Aktivität verspätet liefern, und der Endpunkt speichert keinen Verlauf, daher kann jede Quelle eine Änderung zeigen, die die andere nicht zeigt. Ein täglicher Abgleich findet, was deinem Speicher für Security Information and Event Management (SIEM) fehlt. Der Feed zeichnet nicht [jede Änderung](https://platform.claude.com/docs/de/manage-claude/compliance-security-posture/events-reference#what-the-feed-does-not-record) auf, daher kann eine Bestätigung älter sein als die erste Aktivität des Feeds für ihre Sicherheitskontrolle, und in seltenen Fällen hat eine Änderung überhaupt keine Aktivität. Wenn du nur aktuelle Ergebnisse meldest, brauchst du den Abgleich nicht. Du brauchst einen Compliance Access Key, der die Organisation abdeckt, mit `read:compliance_org_data` für den Endpunkt und `read:compliance_activities` für den Activity Feed oder `read:org_audit` für beides. ## Den Abgleich ausführen Starte jeden Durchlauf erst, nachdem das [tägliche erneute Einlesen](https://platform.claude.com/docs/de/manage-claude/compliance-security-posture/send-events#re-read-15-days-once-a-day) des Tages abgeschlossen ist, damit verspätete Aktivitäten gespeichert sind. 1. Liste die verknüpften Organisationen mit [Organisationen auflisten](https://platform.claude.com/docs/de/manage-claude/compliance-org-data#list-organizations) auf. Du erhältst die `uuid` jeder Organisation. 2. [Rufe den Endpunkt](https://platform.claude.com/docs/de/manage-claude/compliance-security-posture/results-reference#request) für jede Organisation einmal auf. Du erhältst eine 200 oder bei jedem Durchlauf eine 404 für eine Organisation, die der Endpunkt nicht bedient (siehe [Verfügbarkeit von Security posture](https://platform.claude.com/docs/de/manage-claude/compliance-security-posture/overview#availability)). Eine 404 bedeutet, dass die Organisation in diesem Durchlauf nicht gelesen wird. Führe eine Liste der Organisationen, die eine 200 zurückgeben, jeweils mit dem `evaluated_at` ihrer ersten 200: deinem ersten Durchlauf für die Organisation. 3. Lege beiseite, was die [Regeln zum Beiseitelegen](https://platform.claude.com/docs/de/manage-claude/compliance-security-posture/check-events-against-results#set-aside-what-cannot-be-compared) aufführen. 4. Gruppiere die verbleibenden gespeicherten Aktivitäten zu Bestätigungen der Organisation nach Sicherheitskontrolle und nimm jeweils die neueste nach `created_at`. Du erhältst eine Aktivität für jede Kontrolle oder keine. 5. Suche für jede verbleibende Kontrolle ihre Zeile in [der Entscheidungstabelle](https://platform.claude.com/docs/de/manage-claude/compliance-security-posture/check-events-against-results#decide-what-each-mismatch-means). Du erhältst Übereinstimmend, Erwartet oder Prüfbedürftig. 6. Handle bei einem Ergebnis „Prüfbedürftig“ erst, wenn der nächste Durchlauf, der die Organisation liest, es erneut zeigt; bei Zeile 6 handle sofort, und für die Zeilen 10 und 11 befolge stattdessen die [Platzhalter-Regeln](https://platform.claude.com/docs/de/manage-claude/compliance-security-posture/check-events-against-results#keep-a-placeholder-where-the-two-sources-cannot-be-matched). Ein Durchlauf, der die Organisation nicht gelesen hat, zählt weder, noch startet er die Wartezeit neu. Verteile deine Aufrufe zeitlich und behandle eine 429 so, wie [429 Too Many Requests](https://platform.claude.com/docs/de/manage-claude/compliance-errors#429-too-many-requests) es beschreibt; eine Organisation, deren Aufrufe nach deinen Wiederholungen fehlschlagen, wird in diesem Durchlauf nicht gelesen, und ein fehlgeschlagener Aufruf ist keine Änderung. ## Die Felder zuordnen Ordne einen Eintrag in der Antwort mit diesen Feldern einer gespeicherten Aktivität zu. | In der Antwort | In der Aktivität | Wie sie zusammenhängen | | ------------------------- | ------------------------------------------------------------------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `organization_id` | `organization_uuid` | Derselbe Wert; das eigene `organization_id` der Aktivität hat das Präfix `org_`. | | `controls[].id` | `control` | Derselbe Bezeichner, außer wie in [Regel S2](https://platform.claude.com/docs/de/manage-claude/compliance-security-posture/check-events-against-results#set-aside-what-cannot-be-compared). | | `attestation.attested_at` | `created_at` der neuesten Aktivität `attested`, `changed` oder `renewed` | Dieselbe Zeit, wo die Antwort die Bestätigung enthält; vergleiche als Zeitpunkte, nicht als Strings. | | `status` | `status` | Solange die Bestätigung in Kraft ist, gehört `attested_completed` zu `completed` und gehören `attested_accepted_risk` und `failed_check_accepted_risk` zu `accepted_risk`; zu `control_failed` gehört nichts. | ## Beiseitelegen, was sich nicht vergleichen lässt Lege vor dem Vergleich Folgendes beiseite. | # | Was | Regel | | -- | --------------------------------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------- | | S1 | Eine gespeicherte Bestätigungsaktivität, deren `action` nicht `attested`, `changed`, `renewed`, `cleared` oder `lapsed` ist | Lass sie aus dem gesamten Abgleich heraus; markiere jeden neuen Wert von `action` einmal zur Überprüfung. | | S2 | Eine gespeicherte Bestätigungsaktivität, die `mdm_cowork_required_organization` nennt | Zähle sie als eine für `mdm_chat_required_organization`. | | S3 | Eine gespeicherte Bestätigungsaktivität, deren Kontrolle keinen Eintrag in der Antwort hat | Nichts zu vergleichen; melde die Kontrolle als nicht in der Antwort enthalten, niemals als Bestanden (`passed`). | | S4 | Ein Eintrag, dessen `status` `descriptive`, `not_applicable` oder `not_evaluated` ist | Überspringe ihn; ein Durchlauf, in dem er `not_evaluated` ist, zählt für diese Kontrolle nicht. | ## Entscheiden, was jede Abweichung bedeutet Jede verbleibende Kontrolle passt auf genau eine Zeile. | # | Neueste gespeicherte Aktivität | Eintrag in der Antwort | Urteil | Was zu tun ist | | -- | ------------------------------------------------------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | --------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | 1 | `attested`, `changed` oder `renewed` | `attested_at` entspricht ihrem `created_at`; `state` ist `in_force`; `status` gehört zu ihrem Wert. | Übereinstimmend | Nichts. | | 2 | `cleared` | `attestation` ist `null`, außer wie in Zeile 11. | Übereinstimmend | Nichts. | | 3 | `lapsed`, mit Akzeptiertes Risiko (`accepted_risk`) | `attestation` ist `null` oder hat die Zeit der früheren Aktivität mit `state` `check_passing` oder `setting_changed`. | Übereinstimmend | Nichts. | | 4 | `lapsed`, mit `completed` oder `control_failed` | `attestation` ist `null`. | Übereinstimmend | Nichts. | | 5 | `attested`, `changed` oder `renewed` | `attested_at` entspricht ihrem `created_at`; `state` ist `review_due`, `check_passing` oder `setting_changed`. | Erwartet | Nicht in Kraft: Handle bei jedem neuen Zustand einmal, ohne auf eine Aktivität zu warten; eine Rückkehr zu `in_force` setzt dies zurück. | | 6 | `attested`, `changed` oder `renewed`, mit Umgesetzt (`completed`) und einem `created_at` nach deinem ersten Durchlauf | Beim ersten Durchlauf, der die Aktivität vergleicht, ist `attestation` `null` und `status` ist `failed` mit einem `current_value`. | Prüfbedürftig | Die Seite Security posture zeigt eine fehlschlagende Prüfung möglicherweise als Bestanden: Markiere sie zur Überprüfung, ohne zu warten. | | 7 | `attested`, `changed` oder `renewed`, mit `completed` | `attestation` ist `null`; `status` ist weder `not_attested` noch `failed` mit einem `current_value` gleich `null`; Zeile 6 passt nicht. | Erwartet | Nichts zu vergleichen; die Antwort enthält sie nie. | | 8 | `attested`, `changed` oder `renewed`, als Nicht bestanden (`control_failed`) | `attestation` ist `null`; `status` ist eine von drei Möglichkeiten: `failed`; ein beliebiger Status, den die automatische Prüfung liefert; oder, ab dem Enddatum (`review_date`, in UTC), `not_attested`. | Erwartet | Nichts zu vergleichen; handle einmal, wenn `status` ab dem Enddatum `failed` verlässt. | | 9 | `attested`, `changed` oder `renewed`, mit `accepted_risk` | `attestation` ist `null`, und `status` ist `passed`, `matches_profile` oder `exceeds_baseline`. | Erwartet | Speichere einen Platzhalter ([Platzhalter-Regel 7](https://platform.claude.com/docs/de/manage-claude/compliance-security-posture/check-events-against-results#keep-a-placeholder-where-the-two-sources-cannot-be-matched)). | | 10 | Keine, oder jede gespeicherte Aktivität ist älter als `attested_at` | `attestation` ist vorhanden. | Prüfbedürftig | Befolge die Platzhalter-Regeln. | | 11 | Keine, oder eine, deren Wert nicht `control_failed` ist | `current_value` ist `null`, und `status` ist `failed`. | Prüfbedürftig | Deinem Speicher fehlt eine Bestätigung als Nicht bestanden (`control_failed`): Befolge die Platzhalter-Regeln und handle einmal, wenn `status` `failed` verlässt. | | 12 | `attested`, `changed`, `renewed` oder `cleared`, jünger als `attested_at`, mit einer weiteren Aktivität aus fast derselben Zeit | `attestation` ist vorhanden. | Erwartet | Änderungen, die fast gleichzeitig vorgenommen wurden, können in beliebiger Reihenfolge gespeichert werden. | | 13 | Dasselbe, ohne eine solche zweite Aktivität | `attestation` ist vorhanden. | Prüfbedürftig | Wende dich einmal an den Anthropic-Support. | | 14 | `attested`, `changed` oder `renewed` | `attested_at` entspricht ihrem `created_at`; `state` ist `in_force`; `status` gehört nicht zu ihrem Wert. | Prüfbedürftig | Wende dich einmal an den Anthropic-Support. | | 15 | `attested`, `changed` oder `renewed`; keine frühere Zeile passt | `attestation` ist `null`. | Prüfbedürftig | Höchstwahrscheinlich entfernt: Speichere einen Platzhalter ([Platzhalter-Regel 7](https://platform.claude.com/docs/de/manage-claude/compliance-security-posture/check-events-against-results#keep-a-placeholder-where-the-two-sources-cannot-be-matched)) und markiere ihn einmalig zur Überprüfung. | | 16 | Keine | `attestation` ist `null`, und Zeile 11 passt nicht. | Übereinstimmend | Nichts. | | 17 | Eine beliebige andere | Ein beliebiger anderer. | Prüfbedürftig | Markiere sie einmal zur Überprüfung. | ## Einen Platzhalter führen, wo sich die beiden Quellen nicht zuordnen lassen Ein Platzhalter steht für das, was einer der beiden Quellen fehlt, und du hältst ihn von deinen gespeicherten Aktivitäten getrennt. Lies für die Zeilen 10 und 11 den Feed erneut, und speichere und markiere den Platzhalter nur, wenn innerhalb von 15 Tagen, der Reichweite des [täglichen erneuten Einlesens](https://platform.claude.com/docs/de/manage-claude/compliance-security-posture/send-events#re-read-15-days-once-a-day), nichts eintrifft. Speichere ihn bei deinem ersten Durchlauf sofort, ohne Überprüfung. Platzhalter für Zeile 10, mit der Kontrolle und `attested_at` als Schlüssel: 1. Lies erneut ab deiner neuesten gespeicherten Aktivität für die Kontrolle oder ab `attested_at` einschließlich, wenn du keine gespeichert hast; die 15 Tage zählen ab `attested_at`. Erstelle den Platzhalter aus dem Eintrag, gekennzeichnet als ohne Aktivität; lies ihn in der Entscheidungstabelle als Aktivität `attested` zu diesem `attested_at`, deren Wert zu ihrem `status` gehört, sofern einer vorhanden ist. 2. Aktualisiere bei jedem Durchlauf, der die Bestätigung enthält, ihren `status` und `state`. 3. Wenn eine Aktivität eintrifft, deren `created_at` diesem `attested_at` entspricht, ersetze den Platzhalter durch sie. 4. Wenn zwei Durchläufe hintereinander die Bestätigung nicht enthalten, löse den Platzhalter auf; markiere das zur Überprüfung, es sei denn, eine jüngere gespeicherte Aktivität oder eine ungelöste Abweichung aus Zeile 10 für die Kontrolle erklärt es, oder beide Durchläufe zeigen `descriptive`. 5. Ein Durchlauf, der die Organisation nicht gelesen hat oder `not_evaluated` zeigt, zählt weder für diese zwei Durchläufe, noch startet er sie neu. 6. Wenn die Bestätigung wieder erscheint, öffne denselben Platzhalter erneut. Platzhalter für die Zeilen 9, 11 und 15, nur mit der Kontrolle als Schlüssel: 7. Für Zeile 11 zählen die 15 Tage ab dem ersten Durchlauf, der den `status` zeigt. Solange der Platzhalter ungelöst ist, markiere nichts weiter für diese Kontrolle; löse ihn auf, wenn eine jüngere Aktivität eintrifft, die Bestätigung erscheint oder zwei Durchläufe hintereinander auf eine andere Zeile passen. 8. Wenn sich ein Platzhalter für Zeile 9 auflöst, weil die Bestätigung als `failed_check_accepted_risk` erscheint, markiere ihn einmal zur Überprüfung: Das Risiko ist in Kraft. ## Durchgerechnetes Beispiel Diese beiden Durchläufe lesen die Organisation im [Antwortbeispiel](https://platform.claude.com/docs/de/manage-claude/compliance-security-posture/results-reference#response) in der Referenz zu Ergebnissen; Durchlauf 1 ist dein erster Durchlauf. * Durchlauf 1, `directory_sync_enabled`. Gespeichert: `attested`, `accepted_risk`, erstellt am `2026-10-20T15:04:00.220114Z`. Antwort: `failed_check_accepted_risk`, `in_force`, dasselbe `attested_at`. Zeile 1: Übereinstimmend. * Durchlauf 1, `allowed_invite_domains`. Gespeichert: nichts. Antwort: `descriptive`, `attestation` `null`. Regel S4: beiseitegelegt. * Durchlauf 1, `oauth_conditional_access`. Gespeichert: nichts. Antwort: eine `attestation` mit `state` `review_due`. Zeile 10: Prüfbedürftig. Speichere bei deinem ersten Durchlauf sofort einen Platzhalter, ohne Überprüfung. * Durchlauf 2, `oauth_conditional_access`. Platzhalter: der aus Durchlauf 1. Antwort: dieselbe. Zeile 5: Erwartet. Handle einmal bei `review_due`. ## Was der Abgleich nicht finden kann Der tägliche Abgleich kann keine fehlende Aktivität für eine Bestätigung finden, die die Antwort bei einer automatischen Kontrolle auslässt. Die Antwort gibt keinen Hinweis auf eine solche Bestätigung oder nur den `status` `failed`, der wie der Status aussieht, den die automatische Prüfung liefert. ## Wenn eine Organisation nicht mehr antwortet Eine Organisation, die eine 200 zurückgegeben hat und dann in mehreren Durchläufen hintereinander eine 404 zurückgibt, braucht einmal eine Person. Frag jemanden mit Zugriff auf die Seite Security posture, ob die Seite für die Organisation ausgeschaltet wurde (siehe [Verfügbarkeit von Security posture](https://platform.claude.com/docs/de/manage-claude/compliance-security-posture/overview#availability)). Wenn die Seite nicht ausgeschaltet wurde, wende dich an deinen Anthropic-Ansprechpartner. Die Organisation wurde möglicherweise gelöscht, oder dein Zugriff, Security posture oder der Endpunkt endete möglicherweise für die Organisation. Löse unabhängig von der Ursache die Platzhalter und ungelösten Abweichungen der Organisation ohne Überprüfung auf, rufe die Organisation weiterhin auf und öffne die Platzhalter und Abweichungen erneut, wenn die Organisation eine 200 zurückgibt.