Wenn das der Output des ersten Durchlauf war, dann ist das so korrekt. Beim ersten Durchlauf trägt mk_logwatch im zugehöorigen Statefile nur ein wie lang das Log bereits ist, damit nicht 4 Millionen alte Zeilen an den Server geschickt werden. (Zusammen mit dem Batching ist da ganze tatsächlich noch etwas anders, aber das geht hier zu weit.)
Füge nach dem ersten (manuellen) Lauf von mk_logwatch mal neue Zeilen mit Fehlern in das Log ein und lass mk_logwatch dann nochmal mit -d laufen.