Windows 11 Ereignisanzeige nutzen – Systemfehler und Probleme selbst diagnostizieren

Die Windows 11 Ereignisanzeige ist das am meisten unterschätzte Diagnose-Werkzeug von Windows 11 – ein vollständiges Protokoll, das im Hintergrund jede Anmeldung, jeden Programmabsturz, jede Warnung und jeden kritischen Systemfehler mitschreibt, ganz ohne dass Sie etwas dafür einrichten müssen. Wer einen Absturz, einen Bluescreen oder eine plötzlich langsame Startzeit wirklich verstehen will, kommt an diesem Werkzeug kaum vorbei. Getestet auf Windows 11 25H2, August 2026.

Ich nutze die Ereignisanzeige praktisch bei jeder tieferen Fehlerdiagnose – ob bei einem hartnäckigen Bluescreen, einer unerklärlich langsamen Boot-Zeit oder einem Programm, das sporadisch abstürzt. Der Einstieg wirkt zunächst technisch, weil die Oberfläche mit ihrer Baumstruktur und den vielen Protokollkategorien erschlägt. Mit der richtigen Herangehensweise ist sie aber deutlich zugänglicher, als der erste Eindruck vermuten lässt.

Ereignisanzeige öffnen – alle Wege

Methode	Vorgehen
Ausführen-Dialog (schnellster Weg)	Windows + R → eventvwr.msc → Enter
Windows-Suche	Windows-Taste → „Ereignisanzeige“ eingeben → Enter
Rechtsklick-Startmenü	Rechtsklick auf Windows-Logo → „Ereignisanzeige“ auswählen
Über die Computerverwaltung	Rechtsklick auf Windows-Logo → Computerverwaltung → Ereignisanzeige im linken Baum

Die Oberfläche verstehen – welches Protokoll brauche ich?

Links in der Baumstruktur finden Sie unter „Windows-Protokolle“ die wichtigsten Standardkategorien:

Protokoll	Enthält	Relevant für
System	Ereignisse von Windows-Komponenten, Treibern, Diensten	Abstürze, Bluescreens, Boot-Probleme
Anwendung	Ereignisse von installierten Programmen	Programmabstürze, App-Fehler
Sicherheit	Anmeldungen, Berechtigungsänderungen	Nur mit Administratorrechten einsehbar
Setup	Windows-Installation und -Updates	Update-Probleme, Installationsfehler
Weitergeleitete Ereignisse	Von anderen PCs übermittelte Protokolle	Nur in Firmenumgebungen relevant

💡 Für die meisten Fehlerdiagnosen: Beginnen Sie bei einem PC-weiten Problem (Absturz, Bluescreen, langsamer Start) immer mit dem Protokoll System. Erst wenn Sie dort keinen passenden Eintrag finden, oder wenn eindeutig ein bestimmtes Programm betroffen ist, wechseln Sie zu Anwendung.

Einen Fehler-Eintrag richtig lesen

Klicken Sie auf einen Eintrag mit rotem Fehler-Symbol oder gelbem Warn-Symbol, erscheint unten der Detailbereich. Drei Angaben sind für die weitere Recherche entscheidend:

• Quelle: Welcher Dienst oder Treiber hat den Eintrag erzeugt (z.B. „Kernel-Power“, „Application Error“, „DistributedCOM“)
• Ereignis-ID: Eine eindeutige Nummer, die den genauen Fehlertyp identifiziert (z.B. ID 41 für einen unerwarteten Neustart, ID 1000 für einen Anwendungsabsturz)
• Meldungstext: Der eigentliche Beschreibungstext, der oft schon direkt auf die Ursache hinweist

Die Kombination aus Quelle und Ereignis-ID ist der beste Ausgangspunkt für eine gezielte Suche – eine Suche nach „Kernel-Power Ereignis-ID 41“ liefert deutlich präzisere Ergebnisse als eine allgemeine Suche nach „PC startet unerwartet neu“.

Aktuelles Protokoll filtern – schneller zur Ursache

Bei einem aktiven System sammeln sich schnell tausende Einträge an – ohne Filter verliert man sich schnell. Die integrierte Filterfunktion grenzt gezielt ein:

1. Wählen Sie links das gewünschte Protokoll (z.B. System)
2. Klicken Sie rechts auf „Aktuelles Protokoll filtern“
3. Wählen Sie im Dropdown „Protokolliert“ den gewünschten Zeitraum (z.B. „Letzte 24 Stunden“)
4. Setzen Sie Häkchen bei „Kritisch“, „Fehler“ und „Warnung“ – Informations-Einträge blenden Sie für die Fehlersuche meist aus
5. Optional: Geben Sie bei „Ereignisquellen“ eine bekannte Quelle ein, um noch gezielter zu filtern
6. Bestätigen Sie mit OK

Eigene Ansicht speichern – für wiederkehrende Diagnosen

Führen Sie regelmäßig dieselbe Art von Fehlerdiagnose durch, lohnt sich eine benutzerdefinierte Ansicht statt jedes Mal neu zu filtern:

1. Rechtsklick auf „Benutzerdefinierte Ansichten“ im linken Baum
2. Wählen Sie „Benutzerdefinierte Ansicht erstellen“.
3. Stellen Sie Zeitraum, Ereignisebenen (Fehler/Warnung) und betroffene Protokolle ein
4. Vergeben Sie einen Namen, z. B. „Absturz-Diagnose“
5. Diese Ansicht erscheint fortan permanent im linken Baum und lässt sich jederzeit mit einem Klick erneut aufrufen

Ereignisse per PowerShell auslesen – für Profis

Für schnellere, skriptbare Abfragen ohne die grafische Oberfläche bietet PowerShell das Cmdlet Get-WinEvent – deutlich leistungsfähiger als das ältere Get-EventLog und in der Lage, gezielt nach Quelle, ID oder Zeitraum zu filtern.

# Die letzten 20 Fehler-Einträge im Systemprotokoll anzeigen Get-WinEvent -LogName System -MaxEvents 20 | Where-Object {$_.LevelDisplayName -eq "Error"} | Format-Table TimeCreated, ProviderName, Id, Message -AutoSize # Gezielt nach einer bestimmten Ereignis-ID filtern (z.B. Kernel-Power ID 41) Get-WinEvent -FilterHashtable @{LogName='System'; Id=41} | Select-Object TimeCreated, Message # Ereignisse der letzten 24 Stunden aus dem Systemprotokoll Get-WinEvent -FilterHashtable @{LogName='System'; StartTime=(Get-Date).AddDays(-1)}

Der Vorteil gegenüber der grafischen Oberfläche: Diese Befehle lassen sich in ein Skript einbetten und beispielsweise per Aufgabenplanung automatisch täglich ausführen – etwa um eine Zusammenfassung kritischer Fehler in eine Textdatei zu schreiben, ohne die Ereignisanzeige manuell öffnen zu müssen.

Praktische Anwendungsfälle in der Praxis

Unerwarteten Neustart oder Absturz untersuchen

Suchen Sie im Systemprotokoll nach der Quelle „Kernel-Power“ mit Ereignis-ID 41 – dieser Eintrag erscheint, wenn Windows nicht sauber heruntergefahren wurde, etwa bei einem harten Absturz oder Stromausfall. Der Zeitpunkt dieses Eintrags markiert exakt, wann das Problem auftrat – vergleichen Sie diesen mit anderen Einträgen kurz davor, um mögliche Auslöser wie einen Treiberabsturz zu identifizieren.

Boot-Zeit genau messen

Unter Anwendungs- und Dienstprotokolle → Microsoft → Windows → Diagnostics-Performance → Betriebsbereit finden Sie Einträge mit der Ereignis-ID 100, die die exakte Zeit bis zum vollständig nutzbaren Desktop dokumentieren. Eine ausführliche Anleitung zur Optimierung der Boot-Zeit finden Sie im Artikel Windows 11 Boot-Zeit messen und verbessern.

RAM-Diagnoseergebnisse einsehen

Nach einer Windows-Speicherdiagnose (mdsched.exe) erscheinen die Ergebnisse nicht direkt sichtbar, sondern im Systemprotokoll unter der Quelle „MemoryDiagnostics-Results“ – ein häufig übersehener Schritt, der beispielsweise bei der Diagnose von IRQL-Fehlern wichtig ist.

Eine Aktion automatisch bei einem bestimmten Ereignis auslösen

Ein wenig bekanntes, aber mächtiges Feature: Sie können die Ereignisanzeige direkt mit der Aufgabenplanung verknüpfen, sodass Windows bei einem bestimmten wiederkehrenden Fehler automatisch reagiert – etwa ein Skript startet oder eine Benachrichtigung sendet.

1. Rechtsklick auf den betreffenden Ereignis-Eintrag
2. Wählen Sie „Aufgabe an dieses Ereignis anfügen…“
3. Der Aufgabenplanungs-Assistent öffnet sich mit bereits vorausgefüllten Trigger-Daten für genau dieses Ereignis
4. Legen Sie im weiteren Verlauf die gewünschte Aktion fest, z.B. ein Skript zum Dienstneustart oder eine E-Mail-Benachrichtigung

Das ist besonders praktisch bei bekannten, wiederkehrenden Problemen – etwa einem Dienst der sporadisch abstürzt und automatisch neu gestartet werden soll, sobald der entsprechende Fehler-Eintrag erscheint.

Ereignisanzeige funktioniert nicht – häufige Probleme

• Ereignisanzeige öffnet sich nicht oder reagiert nicht: Prüfen Sie in services.msc, ob der Dienst „Windows-Ereignisprotokoll“ auf „Automatisch“ steht und läuft
• Protokoll „Sicherheit“ ist leer oder nicht einsehbar: Dieses Protokoll erfordert Administratorrechte – starten Sie die Ereignisanzeige per Rechtsklick als Administrator
• Zu wenige oder gar keine relevanten Einträge vorhanden: Windows begrenzt die maximale Protokollgröße standardmäßig – ältere Einträge werden automatisch überschrieben. Erhöhen Sie bei Bedarf über Rechtsklick auf das Protokoll → Eigenschaften → „Maximale Protokollgröße“ den verfügbaren Speicherplatz.
• Meldungstext zeigt nur „Die Beschreibung für Ereignis-ID… wurde nicht gefunden“: Das deutet meist auf einen fehlenden oder beschädigten Treiber hin, der die zugehörige Meldungsdatei nicht korrekt registriert hat

Häufig gestellte Fragen

Fazit

Die Ereignisanzeige ist auf den ersten Blick komplex, aber mit dem richtigen Vorgehen – Protokoll wählen, filtern, Quelle und Ereignis-ID notieren – wird sie zum wertvollsten Bordmittel für jede tiefere Windows-Diagnose. Wer regelmäßig dieselbe Art Fehler untersucht, sollte sich eine benutzerdefinierte Ansicht anlegen, und für automatisierte Reaktionen lohnt sich die direkte Verknüpfung mit der Aufgabenplanung. Für Profis bietet Get-WinEvent in PowerShell die schnellste, skriptbare Alternative zur grafischen Oberfläche.

Zuletzt aktualisiert: August 2026 | Getestet auf: Windows 11 25H2 | Autor: Vangelis | 25+ Jahre IT-Erfahrung | Gründer von windowspower.de seit 2003