Wenn Microsoft Office-Anwendungen geschlossen werden, werden Einträge im Abschnitt ''Office Sessions'' im Ereignisprotokoll des Computers erstellt. Die Einträge schließen Informationen wie den Namen der Anwendung, die zwischen Starten und Beenden der Anwendung verstrichene Zeit und die Art der Beendigung (Absturz, Aufhängen, normales Beenden) ein.
| Registry Hive | HKEY_CURRENT_USER |
| Registry Path | Software\Policies\Microsoft\Office\Common\OffDiag |
| Value Name | NoOfficeSessionsLogging |
| Value Type | REG_DWORD |
| Enabled Value | 1 |
| Disabled Value | 0 |