Aktivitätsprotokoll & SIEM‑Integration

Das Aktivitätsprotokoll gibt Admins des Arbeitsbereichs eine chronologische Aufzeichnung sicherheitsrelevanter Ereignisse in ihrem Arbeitsbereich, inklusive wer welche Aktion durchgeführt hat, wann und von wo.

Du kannst Aktivitäten direkt im Admin‑Dashboard durchsuchen, sie als CSV für eine Ad‑hoc‑Überprüfung exportieren oder über eine abfragbare JSON‑API in dein SIEM streamen, um sie langfristig aufzubewahren und Alerts zu erzeugen.

Was protokolliert wird

Jedes Ereignis enthält:

• Wer die Aktion ausgeführt hat (Name, E‑Mail, Benutzer‑ID)
• Wann es passiert ist
• IP‑Adresse und Herkunftsland
• Alle relevanten Übertragungsdetails zum Zeitpunkt des Ereignisses

Die vollständige Liste der unterstützten Ereignistypen und ihrer Schemata findest du in der API‑Referenz weiter unten.

Aktivitäten im Dashboard ansehen

Gehe zu Arbeitsbereichseinstellungen → Aktivitätsprotokoll, um den Live‑Aktivitätsfeed zu sehen.

Ereignisse filtern

Verwende die Dropdown‑Filter, um die Ereignisliste einzugrenzen:

• Ereignistyp — zeige nur bestimmte Ereignistypen (z. B. „Übertragung erstellt")
• Teammitglied — zeige nur Ereignisse eines bestimmten Teammitglieds

Ereignisdetails ansehen

Klicke auf ein Ereignis, um die Detailansicht zu öffnen. Dort werden alle zum Zeitpunkt des Ereignisses erfassten Informationen angezeigt — einschließlich Übertragungseinstellungen, IP‑Adresse und Land.

Als CSV exportieren

Klicke auf CSV exportieren, um Ereignisse aus einem beliebigen Datumsbereich herunterzuladen (bis zu 1 Monat). Die CSV enthält: Ereignis‑ID, Zeitstempel, Ereignistyp, E‑Mail des Akteurs, Übertragungs‑ID, IP‑Adresse, Ländercode und die vollständigen Ereignisdaten.

SIEM‑Integration verbinden

Du kannst externe SIEM‑Tools — wie Splunk — verbinden, um automatisch die Aktivitätsereignisse deines Arbeitsbereichs abzufragen.

Lies die Splunk‑Einrichtungsanleitung →

Schritt 1: API‑Token generieren

1. Gehe zu Arbeitsbereichseinstellungen → Aktivitätsprotokoll
2. Klicke im Bereich API‑Tokens oben auf der Seite auf Neuen Token generieren
3. Wähle eine Ablaufzeit oder wähle "Token läuft nie ab"
4. Klicke auf Token generieren
5. Kopiere den Token aus der Liste, um ihn in deiner SIEM‑Konfiguration zu verwenden

Schritt 2: Endpoint‑URL kopieren

Verwende diese Endpoint‑URL:

https://wetransfer.com/api/external/v1/activity-events

Schritt 3: Dein SIEM konfigurieren

Verwende den Token und die Endpoint‑URL, um eine Abfrageintegration in deinem SIEM‑Tool einzurichten. Die Integration muss:

• Den Endpoint in regelmäßigen Abständen abfragen. 1 Minute ist ein guter Standardwert für SIEM; alles zwischen 1 und 5 Minuten ist je nach Aktualitätsbedarf angemessen (die API erlaubt bis zu 60 Anfragen pro Minute pro Token — siehe Rate limiting weiter unten).
• Beim ersten Lauf übergib since=<current_time> im ISO 8601‑Format, um jetzt zu starten, oder lass ihn weg, um die gesamte verfügbare Historie aufzufüllen (bis zu 1 Jahr).
• Füge den Token im Authorization‑Header hinzu: Authorization: Bearer <your-token>
• Speichere das next_cursor aus jeder Antwort und übergib es als Parameter after in der nächsten Anfrage.
• Wenn has_more true ist, rufe die nächste Seite sofort ab, bevor du wartest.
• Bei einer 429‑Antwort beachte den Retry-After‑Header (in Sekunden), bevor du es erneut versuchst.

Schritt 4: Prüfe, ob Ereignisse ankommen

Nachdem du dein SIEM konfiguriert hast, erstelle eine Testübertragung in deinem Arbeitsbereich. Ereignisse sind normalerweise innerhalb weniger Sekunden nach der Aktion über die API verfügbar und sollten beim nächsten Abfragezyklus in deinem SIEM erscheinen. Wenn ein Ereignis nach einer Minute nicht angekommen ist, überprüfe, ob der Token aktiv ist, ob kein event_type‑Filter es ausschließt und ob der Polling‑Job den neuesten next_cursor verwendet.

API‑Token verwalten

Alle aktiven Token werden im Bereich API‑Tokens aufgelistet und zeigen:

• Token‑Wert
• Ablaufdatum (oder "Kein Ablaufdatum")
• Ob der Token aktiv oder abgelaufen ist

Klicke auf das Papierkorb‑Symbol neben einem Token, um ihn zu widerrufen. Dadurch wird sofort verhindert, dass eine SIEM‑Integration mit diesem Token auf deine Ereignisse zugreift.

Token rotieren ohne Ausfallzeit

Beim Rotieren von Zugangsdaten (geplante Rotation oder nach einem vermuteten Vorfall):

1. Einen neuen Token generieren
2. Aktualisiere deine SIEM‑Konfiguration, damit sie den neuen Token verwendet
3. Bestätige, dass der neue Token verwendet wird — sein last_used_at‑Zeitstempel wird sich innerhalb eines Abfragezyklus aktualisieren
4. Widerrufe den alten Token

API‑Referenz

Endpoint

GET https://wetransfer.com/api/external/v1/activity-events
Authorization: Bearer <your-token>

Parameter

Antwortformat

{
  "events": [
    {
      "event_id": "cf2a4ece6e2164b01f351671881a153e",
      "event_type": "transfer_created",
      "actor_email": "user@company.com",
      "actor_id": "email|adroit|3f8d2e1a-5b22-40aa-95d1-5f831b8d9f42",
      "ip_address": "203.0.113.42",
      "country_code": "NL",
      "target": { "type": "transfer", "id": "transfer-id" },
      "data": { "transfer_name": "Project files", "..." },
      "created_at": "2026-04-15T10:00:00Z"
    }
  ],
  "next_cursor": "opaque-cursor-string",
  "has_more": true
}

Ereignisse werden in aufsteigender created_at Reihenfolge zurückgegeben (älteste zuerst), mit event_id als stabilem Tiebreaker. Diese Reihenfolge ist seitenübergreifend garantiert, sodass du Ereignisse sicher an dein SIEM streamen kannst, sobald sie eintreffen.

Ereignisspezifische Datenfelder

Die Form des data‑Objekts hängt vom event_type ab. Allgemeine Felder wie actor_name, transfer_name, short_url und transfer_owner_email erscheinen bei jedem Ereignis. Typ‑spezifische Felder:

Rate limiting

Die API erlaubt 60 Anfragen pro Minute pro Token. Wenn du dieses Limit überschreitest, erhältst du eine 429‑Antwort mit einem Retry-After‑Header, der angibt, wie viele Sekunden du warten musst.

Fehlerantworten

Alle Fehler geben einen konsistenten JSON‑Body zurück mit einem maschinenlesbaren code, einem menschenlesbaren message und einem request_id, das bei Kontaktaufnahme mit dem Support hilfreich ist.

{
  "error": {
    "code": "token_invalid",
    "message": "Invalid or expired token.",
    "request_id": "dae749c0542e1a59eb107290a3185a5c"
  }
}

Häufig gestellte Fragen

Kann ich Ereignisse für gelöschte Übertragungen abrufen?

Ja. Ereignisse sind eigenständig — alle Übertragungsdetails werden zum Zeitpunkt des Ereignisses erfasst und bleiben verfügbar, auch nachdem die Übertragung gelöscht wurde.

Was passiert, wenn mein SIEM offline geht?

Wenn dein SIEM wieder online ist, setzt es an der Stelle fort, an der es aufgehört hat, mithilfe des gespeicherten Cursors. Es gehen keine Ereignisse verloren.

Kann ich mehrere API‑Token haben?

Ja. Du kannst mehrere Token generieren, zum Beispiel einen pro SIEM‑Integration.

Wer kann API‑Token verwalten?

Nur Admins des Arbeitsbereichs können API‑Token generieren, anzeigen und widerrufen.