Windows Ereignisanzeige auswerten – Fehlerdiagnose für Admins

Die Ereignisanzeige – das Gedächtnis von Windows

Die Windows Ereignisanzeige (Event Viewer, eventvwr.msc) ist eines der wichtigsten Diagnose-Werkzeuge für Windows-Administratoren. Sie protokolliert alle bedeutenden Ereignisse:

• Systemstarts und -abstürze
• Anmeldefehler und Sicherheitsereignisse
• Anwendungsfehler und Abstürze
• Hardwarefehler
• Dienstausfälle

Wer gelernt hat, Ereignisprotokolle zu lesen, kann die meisten Windows-Probleme ohne externe Tools diagnostizieren.

Aufbau der Ereignisanzeige

Öffnen

• eventvwr.msc in der Suche oder Ausführen-Dialog
• Rechtsklick auf Startmenü → Ereignisanzeige
• Oder: PowerShell → eventvwr

Protokollstruktur

Windows-Protokolle:

• Anwendung – Protokolle von Anwendungen (Office, Backup-Software, etc.)
• Sicherheit – Anmeldeereignisse, Berechtigungen, Audit-Protokoll
• System – Betriebssystem-Ereignisse (Treiber, Dienste, Hardware)
• Weitergeleitete Ereignisse – Ereignisse von anderen Computern (zentrales Logging)

Anwendungs- und Dienstprotokolle:

• Microsoft → Windows → (sehr detaillierte Protokolle nach Funktion)

Ereignistypen

Die wichtigsten Event-IDs

System-Protokoll

Sicherheits-Protokoll

Anwendungs-Protokoll

Ereignisse filtern

Die Standardansicht ist oft überwältigend. Nutzen Sie Filter:

1. Rechtsklick auf ein Protokoll → Aktuelles Protokoll filtern
2. Filteroptionen:
   • Protokolliert: Letzte 24 Stunden / 7 Tage / benutzerdefiniert
   • Ereignisebene: Nur Fehler und Kritisch
   • Event-IDs: Kommasepariert (z. B. "41, 6008")
   • Quelle: Bestimmter Dienst oder Treiber

Benutzerdefinierte Ansicht erstellen

Für häufig verwendete Filter: Benutzerdefinierte Ansicht erstellen → Filter speichern → Name vergeben. Nützlich für:

• Alle Abstürze der letzten Woche
• Alle Sicherheitsfehler (4625)
• Alle Festplattenfehler (7, 55)

Ereignisanzeige mit PowerShell

Letzte Fehler auflesen

Get-EventLog -LogName System -EntryType Error -Newest 20

Nach Event-ID suchen

Get-WinEvent -FilterHashtable @{LogName='System'; Id=41} -MaxEvents 10

BSOD-Ereignisse der letzten 7 Tage

Get-WinEvent -FilterHashtable @{LogName='System'; Id=1001; StartTime=(Get-Date).AddDays(-7)}

Anmeldefehler suchen (ID 4625)

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddDays(-1)} | Select-Object TimeCreated, @{n='Benutzer';e={$_.Properties[5].Value}}, @{n='IP';e={$_.Properties[19].Value}} | Format-Table

Ereignisse in CSV exportieren

Get-WinEvent -FilterHashtable @{LogName='System'; Level=2} -MaxEvents 100 | Export-Csv C:\Reports\Events.csv -NoTypeInformation -Encoding UTF8

Typische Problemdiagnosen

PC startet plötzlich neu – Ursache finden

1. Öffnen Sie System-Protokoll
2. Filtern Sie nach Event-ID 41 (Kernel-Power) und 6008
3. Schauen Sie auf den Zeitstempel kurz VOR dem Neustart
4. Event-ID 1001 (BugCheck) zeigt den Fehlercode des BSOD

Festplattenfehler erkennen

1. System-Protokoll → Filtern nach Quelle disk und Ntfs
2. Event-IDs 7, 55, 153 deuten auf Festplattenprobleme hin
3. Bei mehreren Ereignissen: Festplatte sofort prüfen mit CrystalDiskInfo

Gesperrte Benutzerkonten analysieren

1. Sicherheits-Protokoll → Event-ID 4740
2. Klick auf das Ereignis → Details zeigen von welchem PC der Sperrversuch kam
3. Event-ID 4625 zeigt fehlgeschlagene Anmeldungen

Zentrales Event-Logging (Windows Event Forwarding)

In größeren Netzwerken sammeln Sie Ereignisse aller Server zentral:

1. Auf dem Sammel-PC: Aktivieren Sie Windows Remote Management
   winrm quickconfig
2. Abonnement erstellen: Ereignisanzeige → Abonnements → Erstellen
3. Quellencomputer hinzufügen
4. Filter konfigurieren (nur Fehler und Warnungen)

FAQ

Wie lange werden Ereignisse gespeichert?
Standardmäßig bis das Protokoll voll ist (System: 20 MB, Sicherheit: 128 MB). Unter Protokoll-Eigenschaften können Sie Größe und Verhalten bei Vollspeicher konfigurieren.

Kann ich gelöschte Ereignisse wiederherstellen?
Nein, Ereignisprotokolle lassen sich nicht wiederhergestellt werden. Richten Sie frühzeitig Weiterleitungen oder zentrale Logging-Lösungen ein.

Was ist der Unterschied zwischen Ereignisanzeige und SIEM?
Die Ereignisanzeige ist ein einfaches lokales Protokoll. SIEM-Systeme (wie Splunk oder Microsoft Sentinel) sammeln Ereignisse zentral, korrelieren sie und erkennen Angriffsmuster automatisch.

Fazit

Die Windows Ereignisanzeige ist das erste Werkzeug bei der Fehlerdiagnose. Mit den richtigen Event-IDs und PowerShell-Abfragen finden Sie Ursachen schnell.

Als IT-Dienstleister in Heidelberg bieten wir proaktives Systemmonitoring für Unternehmen in Mannheim, Ludwigshafen und der Rhein-Neckar-Region. Jetzt IT-Monitoring anfragen.