Um die Ereignisanzeige in Windows 11 zu öffnen, drücken Sie Windows-Taste + X und wählen Ereignisanzeige, oder Sie drücken Windows-Taste + R, geben eventvwr.msc ein und drücken die Eingabetaste. Abstürze und Fehler werden unter Windows-Protokolle > System und Windows-Protokolle > Anwendung erfasst. Wenn Sie nach den Ebenen Kritisch und Fehler filtern und anschließend die Ereignis-ID nachschlagen, finden Sie meist die Ursache.
Die Ereignisanzeige wirkt einschüchternd, doch für die Diagnose der meisten Probleme benötigen Sie nur eine Handvoll ihrer Funktionen. Dieser Ratgeber zeigt, welche Protokolle wichtig sind, wie Sie sie filtern und was die häufigsten Ereignis-IDs bedeuten.
| Ereignis-ID | Protokoll und Quelle | Was sie meist bedeutet |
|---|---|---|
| 41 | System, Kernel-Power | Windows wurde neu gestartet, ohne sauber heruntergefahren zu werden (Absturz, Stromausfall oder erzwungenes Ausschalten) |
| 6008 | System, EventLog | „Das System wurde zuvor … unerwartet heruntergefahren“ |
| 1001 | System, BugCheck | Der PC hat sich von einem Bluescreen (Stoppfehler) erholt |
| 1000 | Anwendung, Application Error | Ein Programm ist abgestürzt; nennt die fehlerhafte App und das fehlerhafte Modul |
| 1002 | Anwendung, Application Hang | Ein Programm reagierte nicht mehr und wurde geschlossen |
| 7000 / 7001 | System, Service Control Manager | Ein Dienst konnte nicht gestartet werden, oder ein Dienst, von dem er abhängt, ist fehlgeschlagen |
| 7031 / 7034 | System, Service Control Manager | Ein Dienst wurde unerwartet beendet |
Wie öffne ich die Ereignisanzeige in Windows 11?
Am schnellsten klicken Sie mit der rechten Maustaste auf die Schaltfläche Start oder drücken Windows-Taste + X und wählen Ereignisanzeige. Sie können auch im Startmenü nach „Ereignisanzeige“ suchen oder Windows-Taste + R drücken und eventvwr.msc ausführen. Alle drei Wege öffnen dieselbe Konsole.
Die Ereignisanzeige öffnet sich ohne Administratorrechte, und Sie können so die Protokolle „Anwendung“ und „System“ lesen. Das Protokoll Sicherheit und einige Aktionen wie das Löschen von Protokollen erfordern ein Administratorkonto.
Das Fenster hat drei Bereiche. Links befindet sich die Protokollstruktur, in der Mitte werden die Ereignisse des ausgewählten Protokolls aufgelistet, und der rechte Bereich Aktionen enthält Befehle zum Filtern, Speichern und für benutzerdefinierte Ansichten.
Welche Protokolle der Ereignisanzeige sollte ich auf Fehler prüfen?
Prüfen Sie bei den meisten Problemen Windows-Protokolle > System und Windows-Protokolle > Anwendung. Das Systemprotokoll erfasst Hardware-, Treiber-, Dienst- und Herunterfahrereignisse und deckt damit Abstürze, Neustarts und Bluescreens ab. Das Anwendungsprotokoll erfasst Programme, die abstürzen oder hängen. Das Sicherheitsprotokoll erfasst Anmeldungen und Überwachungsereignisse.
- Anwendung: App-Abstürze, hängende Apps, Office- und Installationsfehler.
- Sicherheit: erfolgreiche und fehlgeschlagene Anmeldungen, Kontoänderungen und Überwachungsereignisse. Nützlich, um zu prüfen, wer sich wann angemeldet hat.
- Installation: Ereignisse zu Windows-Updates und zur Installation von Features.
- System: Treiber, Dienste, Datenträger, Energie und unerwartetes Herunterfahren.
- Anwendungs- und Dienstprotokolle: detaillierte Protokolle einzelner Windows-Komponenten, etwa Microsoft > Windows > WindowsUpdateClient.
Jedes Ereignis hat eine Ebene: Kritisch, Fehler, Warnung, Informationen oder Ausführlich. Beginnen Sie mit „Kritisch“ und „Fehler“.
Was wir häufig beobachten: Viele geraten bei der Menge roter Fehlereinträge auf einem einwandfreien PC in Panik. Jedes Windows-System protokolliert einige harmlose Fehler und Warnungen. Ein Ereignis ist nur dann relevant, wenn sein Zeitpunkt zu dem Problem passt, das Sie bemerkt haben.
Wie filtere ich die Ereignisanzeige, um einen Absturz zu finden?
Wählen Sie das Protokoll, etwa System, und dann im Bereich „Aktionen“ Aktuelles Protokoll filtern. Markieren Sie Kritisch und Fehler, stellen Sie Protokolliert auf einen Zeitraum rund um den Absturz ein und wählen Sie OK. Sie können auch bestimmte Ereignis-IDs, durch Kommas getrennt, in das Feld <Alle Ereignis-IDs> eingeben.
- Notieren Sie, wann das Problem ungefähr aufgetreten ist.
- Wählen Sie in der Ereignisanzeige Windows-Protokolle > System.
- Wählen Sie im Bereich „Aktionen“ Aktuelles Protokoll filtern.
- Markieren Sie unter Ereignisebene die Optionen Kritisch und Fehler.
- Stellen Sie Protokolliert auf Letzte 24 Stunden oder wählen Sie Benutzerdefinierter Bereich, um den Zeitpunkt einzugrenzen.
- Geben Sie optional IDs wie
41,6008,1001in das Feld für Ereignis-IDs ein. - Wählen Sie OK. Wählen Sie ein Ereignis aus, um die Registerkarten Allgemein und Details zu lesen.
Wählen Sie im Bereich „Aktionen“ Filter löschen, um wieder das vollständige Protokoll zu sehen. Der Filter gilt nur für das aktuelle Protokoll; wiederholen Sie ihn bei Bedarf für das Anwendungsprotokoll.
Detail für Fortgeschrittene: Der erste Fehler einer Häufung ist meist die Ursache, die folgenden sind oft Folgefehler. Sortieren Sie nach Datum und Uhrzeit und lesen Sie vom ältesten Ereignis der Häufung aufwärts, statt mit dem neuesten zu beginnen.
Was bedeutet Ereignis-ID 41 Kernel-Power?
Ereignis-ID 41 bedeutet, dass Windows neu gestartet wurde, ohne vorher sauber heruntergefahren zu werden. Sie wird beim nächsten Start protokolliert, nicht im Moment des Ausfalls – sie hält also fest, dass etwas schiefgelaufen ist, nicht was. Häufige Ursachen sind ein Stoppfehler (Bluescreen), ein Stromausfall, ein leerer Akku oder das Gedrückthalten des Netzschalters, um den PC zwangsweise auszuschalten.
Öffnen Sie das Ereignis und prüfen Sie die Registerkarte Details. Der Microsoft-Artikel zu Kernel-Power Ereignis-ID 41 erklärt die beiden nützlichsten Felder:
- BugcheckCode: Ist der Wert nicht null, ist ein Stoppfehler aufgetreten. Der Wert ist dezimal angegeben; rechnen Sie ihn in Hexadezimal um (das kann der Rechner im Modus „Programmierer“), um ihn mit dem Stoppcode abzugleichen.
- PowerButtonTimestamp: Ist der Wert nicht null, wurde der Netzschalter gedrückt gehalten, um das Ausschalten zu erzwingen.
Ursache und Wirkung: Sind beide Werte null, konnte Windows nichts mehr aufzeichnen, bevor der PC die Stromversorgung verlor. Dieses Muster deutet eher auf Netzteil, Überhitzung, ein lockeres Kabel oder ein komplettes Einfrieren hin als auf einen Softwareabsturz.
Ereignis-ID 6008 erscheint meist zusammen mit Ereignis 41 und bestätigt, dass das Herunterfahren unerwartet war. War ein Bluescreen die Ursache, folgt oft Ereignis-ID 1001 von BugCheck mit dem Stoppcode.
Wie finde ich heraus, warum eine App abgestürzt ist?
Suchen Sie unter Windows-Protokolle > Anwendung nach Ereignis-ID 1000 mit der Quelle Application Error. Das Ereignis nennt die fehlerhafte Anwendung und das fehlerhafte Modul, also die Datei, die versagt hat. Ereignis-ID 1002, Application Hang, bedeutet, dass das Programm eingefroren ist und geschlossen wurde, statt direkt abzustürzen.
Das fehlerhafte Modul ist der nützlichste Hinweis. Handelt es sich um eine Datei der App selbst, installieren oder aktualisieren Sie die App neu. Ist es eine Grafiktreiberdatei oder ein Plug-in, aktualisieren Sie stattdessen diese.
Bei Fehlern auf Systemebene lohnt sich ein Blick auf die Einträge des Service Control Manager im Systemprotokoll. Ereignis 7000 bedeutet, dass ein Dienst nicht gestartet werden konnte, 7001, dass er nicht starten konnte, weil ein Dienst, von dem er abhängt, fehlgeschlagen ist, und 7031 oder 7034, dass ein Dienst unerwartet beendet wurde.
Deuten die Fehler auf einen Treiber hin, erklärt unser Ratgeber zum Finden und Aktualisieren von Windows 11 Treibern, wie Sie ihn zurücksetzen oder neu installieren. Treten sie nach einem schwarzen Bildschirm auf, lesen Sie unsere Lösungen für den schwarzen Bildschirm unter Windows 11.
Wie erstelle ich eine benutzerdefinierte Ansicht in der Ereignisanzeige?
Wählen Sie im Bereich „Aktionen“ Benutzerdefinierte Ansicht erstellen, legen Sie Zeitraum und Ereignisebenen fest und wählen Sie dann mit Nach Protokoll die einzubeziehenden Protokolle oder mit Nach Quelle die Quellen. Wählen Sie OK, vergeben Sie einen Namen und speichern Sie. Die Ansicht erscheint unter Benutzerdefinierte Ansichten und wird bei jedem Öffnen automatisch aktualisiert.
Ein praktisches Beispiel ist eine Ansicht der kritischen und Fehlerereignisse aus den Protokollen „Anwendung“ und „System“ der letzten sieben Tage. Windows enthält unter Benutzerdefinierte Ansichten bereits eine ähnliche integrierte Ansicht namens Administrative Ereignisse, die kritische Ereignisse, Fehler und Warnungen aus den Hauptprotokollen sammelt.
Benutzerdefinierte Ansichten sind auch bei einem einzelnen wiederkehrenden Problem nützlich. Wenn Sie nach der Quelle Kernel-Power oder einer bestimmten Ereignis-ID filtern, erhalten Sie einen fortlaufenden Verlauf, wie oft es auftritt.
Was ist die Zuverlässigkeitsüberwachung und wie unterscheidet sie sich?
Die Zuverlässigkeitsüberwachung ist eine vereinfachte Zeitachse, die auf denselben Ereignisdaten basiert. Sie zeigt tageweise ein Diagramm mit App-Fehlern, Windows-Fehlern, Warnungen und installierten Updates sowie einen Stabilitätsindex von 1 bis 10. Oft ist sie der schnellste Weg, um zu sehen, was sich kurz vor Beginn der Probleme geändert hat.
Um sie zu öffnen, drücken Sie Windows-Taste + R und führen perfmon /rel aus. Alternativ öffnen Sie Systemsteuerung > Sicherheit und Wartung, erweitern Wartung und wählen Zuverlässigkeitsverlauf anzeigen.
Wählen Sie einen Tag aus, um seine Ereignisse zu sehen, und doppelklicken Sie auf einen Fehler, um die technischen Details anzuzeigen. Erscheint ein rotes Fehlersymbol direkt nach der Installation eines Treibers oder Updates, sollten Sie diese Installation als Erstes rückgängig machen.
Was wir häufig beobachten: Die Zuverlässigkeitsüberwachung macht Muster sichtbar, die in der Ereignisanzeige schwer zu erkennen sind – etwa dieselbe App, die jeden Morgen abstürzt, oder Fehler, die an dem Tag begannen, an dem ein bestimmtes Update kam.
Wie exportiere ich Protokolle der Ereignisanzeige?
Wählen Sie das Protokoll aus oder wenden Sie zuerst einen Filter an, und wählen Sie dann im Bereich „Aktionen“ Alle Ereignisse speichern unter (bzw. Gefilterte Protokolldatei speichern unter). Wählen Sie das Format .evtx, um alles für eine andere Ereignisanzeige zu erhalten, oder Text- bzw. CSV-Formate für einfaches Lesen. Senden Sie die Datei an die Person, die Ihnen hilft.
Über die Befehlszeile kann das Tool wevtutil ein ganzes Protokoll exportieren. Führen Sie Folgendes in Terminal (Administrator) aus und stellen Sie sicher, dass der Zielordner existiert:
wevtutil epl System C:\Logs\system.evtx
Um die zehn neuesten Fehler im Systemprotokoll als Text aufzulisten, führen Sie Folgendes aus:
wevtutil qe System /q:"*[System[(Level=2)]]" /c:10 /rd:true /f:text
Die wevtutil-Befehlsreferenz von Microsoft listet weitere Optionen auf. Exportierte Protokolle können Benutzer- und Computernamen enthalten – geben Sie sie daher nur an Personen weiter, denen Sie vertrauen.
Ereignisanzeige, Zuverlässigkeitsüberwachung und diese Tools sind in jeder Edition von Windows 11 enthalten. Protokollierungsrichtlinien für das Sicherheitsprotokoll, etwa die erweiterte Überwachungsrichtlinie per Gruppenrichtlinie, erfordern Windows 11 Pro, das Sie mit einem echten Windows 11 Pro Key erhalten.
Häufig gestellte Fragen
Ist es unbedenklich, Protokolle der Ereignisanzeige zu löschen?
Das Löschen von Protokollen schadet Windows nicht, entfernt aber die Hinweise, die Sie zur Fehlersuche benötigen könnten. Es behebt auch nichts, da neue Fehler einfach wieder auftauchen. Wenn Sie einen sauberen Ausgangspunkt möchten, speichern Sie das Protokoll zuerst mit Alle Ereignisse speichern unter und wählen Sie dann Protokoll löschen.
Warum zeigt die Ereignisanzeige auf einem funktionierenden PC so viele Fehler?
Windows und Apps protokollieren im normalen Betrieb viele kleinere Fehler und Warnungen, etwa wenn ein Dienst beim Start kurz eine Zeitüberschreitung hat. Die meisten sind harmlos. Konzentrieren Sie sich auf kritische Ereignisse, sich wiederholende Fehler und Fehler, deren Zeitpunkt zu einem Absturz, Einfrieren oder Neustart passt, den Sie tatsächlich bemerkt haben.
Kann mir die Ereignisanzeige sagen, was einen Bluescreen verursacht hat?
Teilweise. Ereignis-ID 1001 von BugCheck und das Feld BugcheckCode in Ereignis 41 erfassen den Stoppcode. Dieser Code grenzt die Ursache ein, etwa ein Treiber- oder Speicherproblem. Fehler, die kurz vor dem Absturz protokolliert wurden, nennen oft den fehlerhaften Treiber oder das fehlerhafte Gerät.
Wo werden die Protokolldateien der Ereignisanzeige gespeichert?
Die Protokolldateien liegen als .evtx-Dateien unter C:\Windows\System32\winevt\Logs. Verschieben oder löschen Sie sie dort nicht direkt. Verwenden Sie stattdessen Alle Ereignisse speichern unter in der Ereignisanzeige oder den Befehl wevtutil epl, um eine Kopie zu erstellen.
Wie sehe ich, wann mein PC heruntergefahren oder neu gestartet wurde?
Filtern Sie das Systemprotokoll nach den Ereignis-IDs 6005 und 6006, die das Starten und Beenden des Ereignisprotokolldienstes bei jedem Start und Herunterfahren erfassen. Ereignis 1074 erfasst geplante Neustarts und Herunterfahrvorgänge einschließlich des Prozesses oder Benutzers, der sie angefordert hat, während die Ereignisse 41 und 6008 unerwartete Vorgänge kennzeichnen.
Weitere Ratgeber
- Windows 11 schwarzer Bildschirm: So beheben Sie das Problem
- Treiber in Windows 11 finden, herunterladen und aktualisieren
- Windows 11 herunterfahren: schnelle Wege und Tastenkombinationen
- Windows 11 Version prüfen und auf 26H2 aktualisieren
Links in diesem Ratgeber
| Link | Typ | Warum er hilft |
|---|---|---|
| Kernel-Power Ereignis-ID 41 | Extern | Erklärt BugcheckCode und PowerButtonTimestamp |
| wevtutil-Befehlsreferenz | Extern | Protokolle über die Befehlszeile exportieren und abfragen |
| Windows 11 Treiber finden und aktualisieren | Intern | Treiberfehler aus den Protokollen beheben |
| Lösungen für den schwarzen Bildschirm unter Windows 11 | Intern | Nächste Schritte, wenn Protokolle Anzeigeabstürze zeigen |
| Windows 11 Pro Key | Intern | Ermöglicht Gruppenrichtlinien für erweiterte Überwachungsprotokolle |