Windows-Alarm Windows führt im Hintergrund ein geheimes Tagebuch, in dem es alle Aktivitäten dokumentiert. Auf Wunsch schlägt Windows auch Alarm. auf DVD Wenn sich Windows plötzlich seltsam verhält und man nicht weiss, wo man mit der Suche beginnen soll, dann ist ein Blick in die Ereignisanzeige ein guter Anfang. Im weitesten Sinn ist die Ereignisanzeige eine Art Tagebuch, in dem das Betriebssystem aufzeichnet, was alles geschieht ähnlich der Blackbox eines Flugzeugs. Ereignisanzeige Lesen Sie in den folgenden Abschnitten, was die Ereignisanzeige ist, welche Versionen von Windows Systemereignisse dokumentieren, was dokumentiert wird und wie der Anwender die Protokolle sinnvoll nutzen kann. Was ist die Ereignisanzeige? Die Ereignisanzeige ist ein Dienst, der von Windows beim Start des PCs geladen wird. Er sammelt während der gesamten Laufzeit von Windows Daten zu Systemereignissen. Das sind Ereignisse wie die Anmeldung eines Benutzers oder Treiber- oder Programmfehler. Die Vorkommnisse speichert Windows in Protokolldateien. Anhand dieser Protokolle kann der Administrator Fehler aufspüren, sie auswerten und Gegenmassnahmen ergreifen. Hat jedes Windows eine Ereignisanzeige? Windows-Betriebssysteme sind ab der Version NT mit einer Ereignisanzeige ausgestattet. Die integrierte Ereignisanzeige hat sich jedoch im Lauf der Zeit verändert. So wurde die in XP sehr spartanisch gehaltene Ereignisanzeige bei Vista und Windows 7 komplett überarbeitet und funktional erweitert. Sie bietet jetzt eine Zusammenfassung der Ereignisse, die nach Ereignistyp gegliedert sind. Das neue Konzept erlaubt einen schnellen Zugriff auf die wichtigsten Ereignisse mit wenigen Klicks. Ausserdem lassen sich benutzerdefinierte Ansichten einrichten, die automatisch bestimmte Infos filtern. Was wird protokolliert? In der Ereignisanzeige speichert Windows alle Vorkommnisse auf dem PC. Zu diesen Vorkommnissen gehören etwa Programminstallatio- Kompakt Die Protokollfunktion heisst Ereignisanzeige und ist in allen Windows-Versionen seit Windows NT enthalten. Ereignisse lassen sich mit Aktionen verknüpfen, zum Beispiel kann eine E-Mail vor Festplattenfehlern warnen. nen, das Booten und das Beenden von Windows sowie Abstürze von Windows-Programmen oder Treibern. Die Ereignisse werden kategorisiert und den Rubriken Anwendung, Sicherheit, Installation und System zugeordnet. Die Grundkategorien können durch Programm- und Treiberinstallationen erweitert werden etwa wenn Sie einen Grafikkartentreiber installieren. Bei der Zuordnung eines Ereignisses zu einer Kategorie klassifiziert Windows es mit einem Ereignistyp. Wann schlägt Windows Alarm? Sie bestimmen selbst, über welche Ereignisse Sie informiert werden. Jedes Ereignis kann drei Aktionen auslösen: eine E-Mail verschicken, ein Hinweisfenster anzeigen oder ein Programm starten. Unter Vista und Windows 7 hilft Ihnen ein Assistent, ein Ereignis mit einer Aktion zu verknüpfen. Unter Windows XP Professional ist es etwas schwieriger: Dort müssen Sie mit dem Tool Eventtriggers.exe, das in Windows enthalten ist, die Ereignisanzeige extra überwachen lassen. In XP Homefehltdas Tool Eventtriggers.exe. Die Verknüpfung von Ereignis und Aktion wie in Windows 7, Vista und XP Pro ist unter XP Home nicht möglich. Welche Ereignistypen gibt es? Die Ereignisanzeige unterscheidet grundsätzlich fünf Ereignistypen: Kritisch, Fehler, Warnung, Informationen, und Überwachung erfolgreich (Bild A). Kritisch: Meldungen dieses Ereignistyps erhält man meist, wenn Windows abstürzt, aus unerfindlichen Gründen einfach neu startet oder wenn ein Hardware-Defekt vorliegt. 0 Online PC 5/00
WINDOWS-ALARM PRAXIS Fehler: Diese Klassifizierung nimmt Windows vor, wenn beispielsweise ein Programm abstürzt oder ein Hardware-Fehler vorliegt. Solche Ereignisse können die Funktionalität von Windows, der eingebauten Hardware oder der installierten Programme beeinträchtigen. Warnung: Diese Ereignisse informieren über aufgetretene Probleme, etwa einen fehlgeschlagenen Verbindungsaufbau oder Datenverlust bei einem Schreibvorgang. Informationen: Solche Ereignisse weisen auf reguläre Vorgänge hin. Darunter finden sich Infos über erfolgreiche System- und Programmstarts, die reguläre Beendigung eines Dienstes oder den Abschluss einer Installation. Überwachung erfolgreich: Alles was mit den Rechten in Windows zu tun hat, findet sich in Ereignisanzeige unter Windows 7: Die Ereignisse sind in die Typen Kritisch, Fehler, Warnung, Informationen und Überwachung erfolgreich eingeteilt (Bild A). dieser Kategorie. Treten etwa Fehler bei der Rechtevergabe auf, dokumentiert Windows das Ereignis als Fehlerüberwachung. Jedes der aufgezeichneten Ereignisse ist mit einer Ereigniskennung (Ereignis-ID) versehen, anhand derer sich der Fehler analysieren lässt. Was ist eine Ereignis-ID? Die Ereignis-ID kennzeichnet einen Vorgang unter Windows. Es handelt sich dabei um eine Zahl mit maximal fünf Stellen. Mit dieser Nummer lassen sich Ereignisse analysieren und Fehlerquellen einkreisen (Bild B). Im Internet lässt sich unter der Adresse www.eventid.net mit der Kennung nach der Ursache des Ereignisses suchen. Direkt unter dem jeweiligen Ereignis befindet sich ein Link, der auf eine neue Webseite mit Detail-Infos zum Ereignis verweist. Dort erhalten Sie Erklärungen zum Ereignis. In den meisten Fällen finden Sie dort auch Kommentare von So geht s: Ereignisanzeige von Windows 7 In der Ereignisanzeige protokollieren Windows 7 und Vista alle Aktivitäten des Systems und von Hard- und Software. Sie starten die Ereignisanzeige mit [Windows R] und dem Befehl eventvwr.msc. Kategorienansicht Hier finden Sie alle Protokolle in Kategorien eingeteilt. Zusammenfassung Windows zeigt Ihnen hier die Ereignisse nach Ereignistyp sortiert an. Filter In diesem Bereich erstellen Sie benutzerdefinierte Ansichten, die bestimmte Ereignisse herausfiltern. Ereignis-Filter Der Befehl listet alle Ereignisse mit derselben ID des markierten Ereignisses auf.
Anwendern und IT-Profis, die häufig auch Lösungsvorschläge enthalten wenn es sich um Fehler oder Warnungen handelt. Auch Links zu weiterführenden Infos sind aufgeführt. Windows 7 Die Ereignisanzeige in Windows 7 ist ein mächtiges Instrument zur Verwaltung des Betriebssystems. Lesen Sie in den folgenden Abschnitten, wie Sie Ereignisse analysieren, die Protokolle nutzen, Filter einsetzen und Ereignisdetails verschicken. Ereignisse analysieren Wenn Sie die Ereignisprotokolle analysieren wollen, starten Sie die Ereignisanzeige. Öffnen Sie dazu den Ausführen-Dialog mit der Tastenkombination [Windows R]. Tippen Sie in das Eingabefeld eventvwr.msc ein und bestätigen Sie mit OK. Die Ereignisanzeige startet. Im Hauptfenster sehen Sie die Zusammenfassung der protokollierten Ereignisse. Um eine Kategorie zu öffnen, klicken Sie auf das Pluszeichen vor Kritisch, Fehler, Warnung, Informationen oder Überwachung erfolgreich. Wollen Sie ein Ereignis genauer untersuchen, klicken Sie doppelt auf einen Untereintrag. Jetzt werden alle Ereignisse eines Typs gesammelt in einer neuen Ansicht angezeigt. Markieren Sie in der oberen Fensterhälfte ein Ereignis. Daraufhin zeigt Windows unten Details zum Ereignis an. Im Beispiel handelt es sich um einen Festplatten-Kontroller-Fehler. Dieser Fehler hat die Ereignis-ID. Ereignis-ID: Jedes Ereignis hat eine Nummer als Kennung. Auf der Website www.eventid.net finden Sie damit nähere Informationen zu einem Ereignis und Lösungsvorschläge bei Problemen (Bild B). Tipp : E-Mail-Benachrichtigung unter Windows 7 und Vista Wenn Sie weitere Informationen zu einem Fehler erhalten wollen, rufen Sie im Browser die Seite www.eventid.net auf. Geben Sie bei Event-ID die Ereigniskennung ein und bei Event Source die angegebene Quelle des Ereignisses ein im Beispiel ist das Disk. Klicken Sie anschliessend auf Search. Die Datenbank wird abgefragt und der Eintrag zum Ereignis ausgegeben. Klicken Sie auf den Link Comments and links for event id from source Disk, damit Sie Details zum Fehler angezeigt bekommen. Unter der Rubrik Comments finden Sie jetzt Einträge von Anwendern, die denselben Fehler haben oder hatten. Protokolle filtern Windows 7 erlaubt es, benutzerdefinierte Ansichten für die Ereignisse zu erstellen. Profis nutzen diese Funktion, um schnell über spezielle Ereignisse informiert zu werden und darauf zuzugreifen. Wollen Sie zum Beispiel immer wissen, wann der Rechner hochgefahren wurde, lässt sich eine entsprechende benutzerdefinierte Ansicht einrichten, die dem Anwender die gewünschte Antwort per Klick liefert. Klicken Sie in der rechten Fensterhälfte bei Aktionen auf Benutzerdefinierte Ansicht erstellen. Aktivieren Sie bei Ereignisebene den Punkt Informationen und wählen Sie bei Protokolle die Option Windows- Protokolle, System. Tippen Sie bei <Alle Ereignis-IDs> die Nummer 6009 ein (Bild C). Bestätigen Sie mit OK. Im folgenden Dialog vergeben Sie bei Name eine Bezeichnung für die benutzerdefinierte Ansicht etwa Windows-Start. Optional geben Sie bei Beschreibung noch eine Kurzbeschreibung zum gewünschten Ereignis an. Übernehmen Sie die benutzerdefinierte Ansicht mit einem Klick auf OK. Wenn Sie jetzt in der linken Fensterhälfte unter der Rubrik Benutzerdefinierte Ansichten die Option Windows-Start markieren, zeigt Ihnen die Ereignisanzeige alle Zeitpunkte an, zu denen der Computer gestartet wurde. Aktionen an ein Ereignis knüpfen Auf Wunsch startet Windows ein Programm, versendet eine E-Mail oder zeigt eine Nachricht in einem Fenster an. Aktionen verknüpfen Sie mit einem Ereignis, indem Sie mit der rechten Maustaste auf das Ereignis oder die Ansicht klicken und im Kontextmenü die Option Aufgabe an diese Windows schickt Ihnen auf Wunsch eine E-Mail, wenn etwa der PC gestartet wird oder ein Festplattenfehler auftritt. Sie benötigen dazu ein Mail-Programm, das sich über eine Batch-Datei steuern lässt: Blat.6. (kostenlos, www.blat.net und auf ). Die Batch-Datei lassen Sie dann von der Aufgabenplanung aufrufen (Bild D). Entpacken Sie die Datei blat6.full.zip in ein Verzeichnis Ihrer Wahl. Kopieren Sie die Dateien blat.dll, blat.exe und blat.lib in das Verzeichnis C:\Windows\ System. Erstellen Sie anschliessend die Batch-Datei mail.cmd: blat.exe.-to.<empfänger>.-f.<ab sender>.-u.<benutzer>.-pw.<pass wort>.-server.<smtp-server>.-s. <Betreff>.-body.<Nachrichtentext> Die Angaben für Benutzer, Passwort und SMTP-Server sind dieselben wie in Ihrem E-Mail-Programm. Öffnen Sie die Ereignisanzeige. Markieren Sie bei Windows-Protokolle die Kategorie System und suchen Sie nach einem Ereignis mit der ID 700 und der Aufgabenkategorie 0. Das ist das Ereignis Winlogon ; es findet jedes Mal statt, wenn sich jemand am PC anmeldet. Öffnen Sie das Kontextmenü und wählen Sie dann Aufgabe an dieses Ereignis anfügen Klicken Sie anschliessend zweimal auf Weiter. Wählen Sie nun nicht E-Mail senden, sondern Programm starten. Klicken Sie auf Durchsuchen und wählen Sie die zuvor erstellte Batch-Datei mail.cmd aus. Setzen Sie im nächsten Dialogfeld ein Häkchen bei Beim Klicken auf ( ). Klicken Sie abschliessend auf Fertig stellen. Der Aufgabenplaner öffnet sich. Aktivieren Sie bei Sicherheitsoptionen die Punkte Unabhängig von der Benutzeranmeldung ausführen und Kennwort nicht speichern ( ). Wechseln Sie dann auf den Reiter Bedingungen. Setzen Sie ein Häkchen bei Nur starten, wenn folgende ( ) und wählen Sie im Menü Ihr Netzwerk aus. Schliessen Sie das Fenster mit OK. E-Mail-Benachrichtigung: Wenn sich ein Nutzer am PC anmeldet, bekommen Sie eine E-Mail zugesandt (Bild D). Online PC 5/00
benutzerdefinierte Ansicht anfügen oder Aufgabe an dieses Ereignis anfügen wählen. Ein Assistent startet. Folgen Sie seinen Anweisungen. Wählen Sie im Menü Aktion die gewünschte Aktion aus. Ein Klick auf Weiter, Fertigstellen verknüpft sie mit der Aufgabenplanung. Zwei Beispiele zeigen die Kästen Tipp : E- Mail-Benachrichtigung unter Windows 7 und Vista auf Seite und Tipp : Alarm-Meldung unter Windows 7 und Vista auf Seite. Ereignisdetails verschicken Manche Probleme mit Hard- und Software, die in der Ereignisanzeige dokumentiert werden, lassen sich trotz der meist ausführlichen Beschreibung unter www.eventid.net nur von Profis richtig interpretieren. Windows-Start: Ein Filter mit der Ereignis-ID 6009 (Multiprocessor Free) zeigt Ihnen an, wann Windows gestartet wurde (Bild C). Wenn zumbeispieleintreiber aus unerklärlichen Gründen fehlerhaft arbeitet und der Support des Herstellers Details zum Fehler haben möchte, lässt sich das Protokoll des Ereignisses kopieren und an die zuständigen Stellen per E-Mail senden. Klicken Sie dazu mit der rechten Maustaste auf das Ereignis. Wählen Sie Kopieren, Details als Text kopieren. Öffnen Sie anschliessend Ihr E-Mail-Programm und fügen Sie die Ereignisdetails mit dem Tastenkürzel [Strg V] in die E- Mail ein. Jetzt kann der Hersteller analysieren, woran der Fehler liegt. Windows XP Die Ereignisanzeige von Windows XP ist nicht so umfangreich wie die von Vista oder 7. Lesen Sie, wie Sie Ereignisse unter XP analysie- Online PC 5/00 auf DVD
ren, Protokolle an Ihre Bedürfnisse anpassen oder Aktionen auf bestimmte Ereignisse ausführen lassen und Protokolle verschicken. Ereignisse analysieren Starten Sie die Ereignisanzeige, indem Sie mit [Windows R] den Ausführen-Dialog öffnen, eventvwr.msc eintippen und auf OK klicken. Das Hauptfenster der Ereignisanzeige teilt sich in einen linken und einen rechten Bereich. In der linken Fensterhälfte finden Sie die Ereignis-Kategorien Anwendung, Sicherheit und System. Je nachdem, welche Hardware und welche Programme auf dem Rechner installiert wurden, sind die Kategorien um zusätzliche Punkte erweitert. Um etwa die Anwendungsereignisse zu kontrollieren, klicken Sie in der linken Fensterhälfte auf Anwendung. In der rechten Hälfte erscheinen daraufhin alle protokollierten Ereignisse. Die Ereignisse lassen sich entsprechend sortieren, wenn Sie in den Spalten etwa auf Typ, Datum, Uhrzeit oder Quelle klicken. Insgesamt finden sich dort acht Spalten. Details zu den Ereignissen finden Sie nach einem Doppelklick auf das Ereignis in den Info-Fenstern. Protokolle filtern Benutzerdefinierte Ansichten helfen, bestimmte Ereignisse wie beispielsweise Fehler schnell aufzufinden. Beispielhaft soll eine benutzerdefinierte Ansicht der Kategorie Anwendung erstellt werden, die den Fehler mit der Kennung 000 anzeigt. Klicken Sie dazu mit der rechten Maustaste auf Anwendung und wählen Sie Neue Protokollansicht. Eine neue Kategorie mit der Bezeichnung Anwendung () erscheint. Wer Tipp : Alarm-Meldung unter Windows 7 und Vista Windows zeigt Ihnen auf Wunsch ein Hinweisfenster bei einem bestimmten Ereignis. Das ist etwa bei Fehlern am Festplatten-Kontroller sinnvoll. Klicken Sie in der Ereignisanzeige auf Benutzerdefinierte Ansicht erstellen Aktivieren Sie die Ereignisebene Fehler. Unter Protokolle wählen Sie Windows-Protokolle, System. Als Ereignis-ID tippen Sie ein. steht für einen Fehler am Festplatten-Kontroller. Klicken Sie auf OK. Vergeben Sie dann einen Namen und bestätigen Sie nochmal mit OK. Klicken Sie mit der rechten Maustaste auf die neue Ansicht und wählen Sie Aufgabe an diese benutzerdefinierte ( ). Bestätigen Sie zweimal mit Weiter. Aktivieren Sie Meldung anzeigen. Bestätigen Sie mit Weiter. Tippen Sie als Titel zum Beispiel Kontroller-Fehler ein und im unteren Feld eine entsprechende Textnachricht: Windows.hat.einen möchte, kann die Kategorie beliebig umbenennen. Klicken Sie anschliessend mit der rechten Maustaste auf die neue Kategorie und wählen Sie Eigenschaften. Wechseln Sie auf den Reiter Filter. Setzen Sie bei Ereignistyp ein Häkchen bei Fehler, alle anderen Optionen können Sie deaktivieren. Wählen Sie im Dropdown-Menü von Ereignisquelle den Punkt Application Error und tippen Sie in das Eingabefeld von Ereigniskennung die Zahl 000 ein. Bestätigen Sie mit OK. Wenn Sie künftig die Kategorie Anwendung () aktivieren, werden Ihnen sofort alle entsprechenden Ereignisse angezeigt..kontrollerfehler.festgestellt.. Überprüfen.Sie,.ob.ein.Treiber- Update.verfügbar.ist. (Bild E). Fahren Sie fort mit Weiter. Aktivieren Sie Beim Klicken auf ( ) unten im Dialogfeld und klicken Sie anschliessend auf Fertigstellen. Der Aufgabenplaner öffnet sich. Aktivieren Sie Unabhängig von der Benutzeranmeldung ausführen. Schliessen Sie das Fenster mit OK. Tritt der Fehler auf, zeigt Windows ein Hinweisfenster an. Kontroller-Fehler: Sobald der Fehler auftritt, gibt Windows ein Fenster mit diesem Hinweis aus (Bild E). Protokolle verschicken Benötigt der Support eines Herstellers für die Fehlersuche einmal die Ereignisdetails, dann schicken Sie ihm die Daten per E-Mail zu. Öffnen Sie die Ereignisanzeige. Klicken Sie doppelt auf das Ereignis. Im Fenster finden Sie drei Schaltflächen. Klicken Sie auf das Kopieren-Symbol. Öffnen Sie Ihr E-Mail-Programm und fügen Sie die Ereignisdetails mit dem Tastenkürzel [Strg V] in die E-Mail ein. Jetzt kann der Hersteller den Fehler anhand der übermittelten Daten analysieren. Oliver Ehm/jb So geht s: Ereignisanzeige von Windows XP In der Ereignisanzeige protokolliert Windows XP alle Aktivitäten des Systems und von Hard- und Software. Sie starten die Ereignisanzeige mit [Windows R] und dem Befehl eventvwr.msc. Kategorienansicht Hier finden Sie alle Protokolle in Kategorien eingeteilt. Filter Über das Menü Aktion lassen sich benutzerdefinierte Filter erstellen. Detailansicht Diese Schaltfläche zeigt die Details zu einem einzelnen Ereignis an. Ereignistypen Die Symbole zeigen Ihnen auf einen Blick, ob es sich um einen Fehler, eine Information oder eine Warnung handelt. Online PC 5/00