Die Ereignisanzeige

Gültig für: Windows NT | Windows 2000 | Windows XP | Server 2003 | Windows Vista | Server 2008 | Windows 7 | Windows 8 | Windows 10

---

In der Ereignisanzeige werden vom System und Anwendungen Informationen abgelegt, mit deren Hilfe sich Fehler leichter aufspüren lassen. Ggf. lassen sich auch Aktionen auf gewisse Ereignisse auslösen.

Die Ereignisanzeige rufen Sie bei NT über eventvwr.exe und ab Windows 2000 über die MMC auf (eventvwr.msc).

Je nach installieren Anwendungen finden Sie in der Ereignisanzeige folgende Abschnitte:

Anwendungen	Hier werden die Informationen von Anwendungen protokolliert.
Sicherheit	Hier landen alle Informationen, die etwas mit der Sicherheit zu tun haben. Für die meisten Einträge muss vorher die Sicherheitsprotokollierung aktiviert werden.
System	Alle Informationen, die das System betreffen, werden hier abgelegt.
Directory Service	Hier werden die Informationen vom ADS abgelegt. Dabei kann hier gut der Status der Replikation überprüft werden.
DNS Server	Hier werden die Informationen vom DNS-Server abgelegt.
Dateireplikationsdienst	Hier kann man Informationen über Probleme des Replikationsdienstes finden.

Diese Liste kann von entsprechenden Anwendungen/Diensten erweitert werden. Für jeden Eintrag kann über die rechte Maustaste ein Kontextmenü aufgerufen werden ("rechte Maustaste" -> "Eigenschaften").

Auf der ersten Seite sehen Sie unter "Protokollname" den Speicherort und den Namen der Datei, Sie können hier die Datei jederzeit an einen anderen Speicherort Ort verlegen.

Weiterhin können Sie unter Protokollgröße die max. Größe der Datei festlegen und konfigurieren, wie das System verfahren soll, wenn diese Größe erreicht wird.

Besondere Beachtung muss dabei auf die Einstellungen "Ereignisse überschreiben, die älter als xx Tage sind" und "Ereignisse nie überschreiben" gelegt werden.

Ist nämlich die max. Größe erreicht und das System kann nichts mehr in die Logdatei schreiben (Protokoll ist voll gelaufen), hält das System an. Hier muss man die Protokollgröße regelmäßig überprüfen.

 

Wo werden die Dateien abgelegt?

Standardmäßig werden die Dateien unter "%SYSTEMROOT%\system32\config" abgelegt. Der aktuelle Speicherort kann unter Eigenschaften (siehe oben) oder auch in der Registry geändert werden:

HKEY_LOCAL_MACHINE\ System\ CurrentControlSet\ Services\ Eventlog

Hier finden Sie für jedes Protokoll einen weiteren Schlüssel. Innerhalb dieses Schlüssels finden Sie den Wert "File", wo der Pfad zur Protokolldatei festgelegt wird.

 

Wo finde ich Informationen zu den Event-IDs?

Im Internet gib es 2 wichtige Adressen, wo Sie weitere Informationen zu den Ereigniseinträgen finden.

Beschreibung und Links zu MS Artikeln für die IDs: http://www.eventid.NET/

Weiterhin finden Sie bei MS noch einige Informationen, hier können Sie auch eine Excel-Datei mit vielen Event-IDs herunterladen:

http://www.microsoft.com/windows2000/techinfo/reskit/ErrorandEventMessages/default.asp

 

Hier einmal eine kurze Auflistung einiger IDs und Ihrer Bedeutung:

Event-ID	Beschreibung
1001	Enthält Informationen, wenn ein Memory-Dump erstellt wurde
1074	Neu ab XP und .NET, enthält den Grund für den Systemabschluss (wird von User abgefragt und eingeben)
6005	Kommt auch beim Systemstart und besagt, dass das Ereignisprotokoll gestartet wurde
6006	Wird bei einem Systemabschluss geschrieben, wenn das Ereignisprotokoll beendet wurde
6008	Wenn das System unerwartet gestartet wurde, wird hier anhand eines Zeitstempels der ungefähre Zeitpunkt des Absturzes eingetragen.
6009	Kommt beim Systemstart und enthält unteren anderen Informationen über das Betriebssystem

 

Wie kann ich auf Event-IDs automatisch reagieren?

MS stellt dafür ein kostenpflichtiges Tool "Microsoft Operations Manager" (MOM) zur Verfügung. Mit diesem Tool können Sie Reaktionen auf Ereignisse konfigurieren. MS hat hierfür schon eine gewisse Anzahl an Filtern vorkonfiguriert. Weitere Informationen zum MOM finden Sie unter: http://www.microsoft.com/mom.

Es gibt aber auch kostenfreie Möglichkeiten:

Mit dem Tool "Eventquery.vbs" (ab .NET) wird Ihnen ein beispielsweise ein Visual Basic Script geliefert, mit welchen Sie Ereignisse abfragen können.

Weit mehr Möglichkeiten bietet das Tool "Eventtriggers.exe". Mit diesem Tool können Sie Trigger konfigurieren, die bei einem bestimmten Ereignis einen Befehl ausführen (EXE, Batch). Sie können mit dem Tool

• Trigger erstellen (create)
• Trigger wieder löschen (delete)
• aktuelle Trigger anzeigen lassen (query).

Weiterhin gibt es noch das Tool "eventquery.pl" (im Resource Kit 2000 Supplement 1)

Mit diesem Perl-Script, können Sie Informationen aus der Ereignisprotokoll abfragen. Dafür muss aber Perl auf Ihrem System installiert sein. Weitere Informationen dazu finden Sie http://www.microsoft.com/mom

 

Wie kann ich eigene Ereignisse erzeugen?

Mit dem Tool "logevent.exe" aus dem Resource Kit können eigene Events im Anwendungsprotokoll erstellt werden.

Weiterhin gibt es ab .NET Server das Tool "eventcreate.exe". Sie haben auch hier die Möglichkeit, Ereignisse ins System- oder Anwendungsprotokoll zu schreiben.

---