Event IDs suchen.
Befund richtig einordnen.

Was bedeutet das?

Windows protokolliert den Start des Betriebssystems mit dem zugehörigen Zeitpunkt.

Typische Zusammenhänge

• Normaler Systemstart
• Neustart nach Update oder Wartung
• Vergleich mit unerwarteten Neustarts

Was zuerst prüfen?

1. Zeitpunkt mit Ereignis 6005 und 6009 vergleichen
2. Bei Neustartproblemen Ereignis 13, 41, 1074 und 6008 zum selben Zeitraum prüfen

Was bedeutet das?

Windows protokolliert den Beginn eines regulären Herunterfahrens.

Typische Zusammenhänge

• Normales Herunterfahren
• Geplanter Neustart
• Vergleich mit unerwartetem Abbruch

Was zuerst prüfen?

1. Mit User32 1074 und EventLog 6009 vergleichen
2. Fehlt der Eintrag vor 41 oder 6008, den Absturzzeitpunkt genauer prüfen

Was bedeutet das?

Der Windows-Ereignisprotokolldienst wurde gestartet. Der Eintrag hilft, den Beginn einer Sitzung zeitlich einzuordnen.

Typische Zusammenhänge

• Systemstart
• Neustart
• Zeitliche Rekonstruktion eines Ausfalls

Was zuerst prüfen?

1. Mit Kernel-General 12 und EventLog 6009 vergleichen
2. Bei unerwartetem Neustart die unmittelbar vorherige Sitzung mit 41 und 6008 abgleichen

Was bedeutet das?

Der Ereignisprotokolldienst wurde im Rahmen eines regulären Herunterfahrens beendet.

Typische Zusammenhänge

• Normales Herunterfahren
• Geplanter Neustart

Was zuerst prüfen?

1. Mit User32 1074 und Kernel-General 13 vergleichen
2. Bei fehlendem Eintrag Ereignis 41 und 6008 prüfen

Was bedeutet das?

Windows stellt beim nächsten Start fest, dass die vorherige Sitzung nicht regulär beendet wurde.

Typische Zusammenhänge

• Absturz oder vollständiger Stillstand
• Stromunterbruch
• Erzwungenes Ausschalten

Was zuerst prüfen?

1. Kernel-Power 41 und WER-SystemErrorReporting 1001 zum selben Zeitpunkt vergleichen
2. BugcheckCode, Lastzustand und Stromversorgung dokumentieren

Was bedeutet das?

Ein Prozess oder Benutzer hat einen Neustart oder ein Herunterfahren von Windows angefordert. Im Ereignis stehen Prozess, Benutzer und Grund.

Typische Zusammenhänge

• Benutzer hat neu gestartet
• Windows Update fordert Neustart an
• Programm oder Verwaltungswerkzeug löst Neustart aus

Was zuerst prüfen?

1. Prozessname, Benutzer und Grund lesen
2. Mit Kernel-General 13 und EventLog 6009 vergleichen

Was bedeutet das?

Windows Error Reporting protokolliert einen Systemabsturz und nennt normalerweise Bugcheck-Code, Parameter und den Pfad einer Speicherabbilddatei.

Typische Zusammenhänge

• Bluescreen mit anschließendem Neustart
• Systemabsturz mit Dump-Datei
• Vergleich mit Kernel-Power 41

Was zuerst prüfen?

1. Bugcheck-Code und vier Parameter sichern
2. Zeitpunkt mit Kernel-Power 41 vergleichen
3. Den normalisierten Bluescreen-Code nachschlagen

Was bedeutet das?

Windows protokolliert den Absturz einer Anwendung und nennt die fehlerhafte Anwendung sowie ein beteiligtes Modul.

Typische Zusammenhänge

• Wiederholter Programmabsturz
• Fehler nach Programm- oder Treiberupdate
• Beschädigte Programmdateien oder Abhängigkeiten

Was zuerst prüfen?

1. Anwendungs- und Modulname sowie Ausnahmecode sichern
2. Version und Zeitpunkt mit letzten Änderungen vergleichen
3. Zeitgleiches Windows-Fehlerberichterstattungsereignis 1001 prüfen

Was bedeutet das?

Windows hat festgestellt, dass eine Anwendung nicht mehr auf Eingaben oder Nachrichten reagiert.

Typische Zusammenhänge

• Anwendung hängt unter Last
• Blockierte Datei- oder Netzwerkoperation
• Programm- oder Erweiterungsfehler

Was zuerst prüfen?

1. Anwendungsname, Pfad und Hang-Typ sichern
2. Wiederholbarkeit und Auslastung vergleichen
3. Zuverlässigkeitsverlauf zum gleichen Zeitpunkt prüfen

Was bedeutet das?

Windows hat beim nächsten Start festgestellt, dass der vorherige Betrieb ohne vollständiges Herunterfahren endete.

Typische Zusammenhänge

• Stromunterbruch oder erzwungenes Ausschalten
• Stopfehler oder vollständiger Systemstillstand
• Instabilität unter Last oder Überhitzung

Was zuerst prüfen?

1. BugcheckCode und PowerButtonTimestamp in den Ereignisdetails prüfen
2. Ereignis 1001, Ereignis 6008 und vorhandene Minidumps zum selben Zeitpunkt vergleichen
3. Auf Stromunterbruch, Lastzustand und Überhitzung achten

Was bedeutet das?

Windows Hardware Error Architecture hat einen korrigierten Fehler auf einem Hardwarepfad protokolliert. Das System konnte weiterarbeiten.

Typische Zusammenhänge

• PCIe-Gerät oder Verbindung reagierte instabil
• Firmware-, BIOS- oder Chipsatzproblem
• Energiesparzustand oder Tuning

Was zuerst prüfen?

1. Komponentenkennung und Fehlerquelle im Ereignis sichern
2. Häufigkeit und Lastzustand vergleichen
3. BIOS-Standardwerte sowie Chipsatz- und Gerätetreiber prüfen

Was bedeutet das?

WHEA hat einen schwerwiegenden Hardwarefehler gemeldet. Die Ereignisdetails können Prozessor-, Cache-, Speicher- oder Busangaben enthalten.

Typische Zusammenhänge

• Instabile CPU- oder RAM-Konfiguration
• Temperatur- oder Spannungsproblem
• CPU-, RAM-, Mainboard- oder PCIe-Fehler

Was zuerst prüfen?

1. Error Source, APIC ID und Fehlerart sichern
2. Tuning und Undervolting auf Standard zurücksetzen
3. CPU, RAM und Temperaturen einzeln und reproduzierbar prüfen

Was bedeutet das?

Die Hardware meldete einen korrigierbaren Fehler. Häufigkeit, Fehlerquelle und Betriebszustand sind für die Einordnung wichtiger als ein einzelner Eintrag.

Typische Zusammenhänge

• Grenzwertige Taktung oder Spannung
• Firmware- oder Temperaturproblem
• Beginnende Instabilität von CPU, RAM oder Bus

Was zuerst prüfen?

1. Fehlerart und Prozessor-ID vergleichen
2. Auftreten unter Last und im Leerlauf beobachten
3. BIOS-Standardwerte herstellen

Was bedeutet das?

Ein Datenträgerblock konnte nicht zuverlässig gelesen oder geschrieben werden. Datenverlust ist möglich.

Typische Zusammenhänge

• Beschädigter Bereich auf HDD oder SSD
• Fehlerhafte Verbindung oder Speichercontroller
• Ausfallendes Laufwerk

Was zuerst prüfen?

1. Wichtige Daten zuerst sichern
2. SMART- und Herstellerdiagnose prüfen
3. Disk 51, 129 und 153 zum gleichen Laufwerk vergleichen

Was bedeutet das?

Beim gepufferten Lesen oder Schreiben trat ein Fehler auf. Der Begriff „Paging“ bezieht sich dabei nicht nur auf die Auslagerungsdatei.

Typische Zusammenhänge

• Verbindungs- oder Controllerproblem
• Datenträger antwortet fehlerhaft
• Störung im Speicherpfad

Was zuerst prüfen?

1. Betroffenes Gerät in den Details bestimmen
2. SMART und Ereignisse 7, 129 und 153 vergleichen
3. Kabel, Port und Stromversorgung kontrollieren

Was bedeutet das?

Windows hat einen fehlgeschlagenen Lese- oder Schreibvorgang wiederholt. Wiederholte Einträge können ein frühes Warnsignal sein.

Typische Zusammenhänge

• Kurzer Timeout des Laufwerks
• Kabel- oder Controllerproblem
• Firmware- oder Laufwerksinstabilität

Was zuerst prüfen?

1. Häufigkeit und betroffenes Gerät feststellen
2. Ereignis 129, 51 und SMART-Werte vergleichen
3. Lastzustand zum Ereignis dokumentieren

Was bedeutet das?

NTFS hat eine beschädigte oder inkonsistente Dateisystemstruktur erkannt.

Typische Zusammenhänge

• Unterbrochener Schreibvorgang oder Stromverlust
• Fehlerhafte Datenträgerblöcke
• Speicher- oder Controllerproblem

Was zuerst prüfen?

1. Wichtige Daten sichern
2. SMART und Disk-Ereignisse prüfen
3. Erst bei unauffälliger Hardware eine Dateisystemprüfung beginnen

Was bedeutet das?

Der Grafiktreiber reagierte nicht rechtzeitig. Windows konnte den Grafikstack zurücksetzen.

Typische Zusammenhänge

• Treiberfehler oder inkompatible Version
• GPU-Last, Temperatur oder instabile Taktung
• Stromversorgungsproblem

Was zuerst prüfen?

1. Genannten Treibernamen und Zeitpunkt notieren
2. LiveKernelEvent 117 oder 141 vergleichen
3. Tuning entfernen und Temperaturen beobachten

Was bedeutet das?

Ein Windows- oder Programmdienst ist beim Start gescheitert. Dienstname und Fehlercode im Ereignis bestimmen die weitere Prüfung.

Typische Zusammenhänge

• Datei oder Dienstkonto fehlt
• Starttyp oder Berechtigung ist falsch
• Abhängigkeit oder Programm ist beschädigt

Was zuerst prüfen?

1. Dienstname und Fehlercode lesen
2. Dateipfad und Dienstkonto prüfen
3. Ereignis 7001 oder 7031 vergleichen

Was bedeutet das?

Ein Dienst startete nicht, weil ein benötigter anderer Dienst nicht verfügbar war.

Typische Zusammenhänge

• Abhängiger Dienst ist deaktiviert oder defekt
• Startreihenfolge oder Konto ist fehlerhaft
• Zugehörige Software ist unvollständig

Was zuerst prüfen?

1. Genannten Abhängigkeitsdienst öffnen
2. Dessen eigenes Fehlerereignis zuerst auswerten
3. Konfiguration mit Herstellerstandard vergleichen

Was bedeutet das?

Ein Dienstprozess ist abgestürzt oder wurde unerwartet beendet.

Typische Zusammenhänge

• Programm- oder Dienstfehler
• Beschädigte Konfiguration
• Abhängigkeit oder Ressourcenproblem

Was zuerst prüfen?

1. Dienstname und Wiederherstellungsaktion lesen
2. Zeitgleiche Application-Error-Ereignisse prüfen
3. Zugehöriges Programm identifizieren

Was bedeutet das?

Ein konkretes Windows-Update konnte nicht installiert werden. KB-Nummer und Fehlercode stehen im Ereignistext.

Typische Zusammenhänge

• Beschädigter Komponentenstore
• Zu wenig Speicher oder ausstehender Neustart
• Treiber- oder Softwarekonflikt

Was zuerst prüfen?

1. KB-Nummer und Fehlercode notieren
2. Freien Speicher und Neustartstatus prüfen
3. Den konkreten Fehlercode in der BHAZARD-Datenbank suchen

Was bedeutet das?

Windows meldet einen Controllerfehler bei der Kommunikation mit einem Datenträger. Betroffen sein können Laufwerk, Verbindung, Controller oder Treiber.

Typische Zusammenhänge

• SATA-, USB- oder Speicherpfad instabil
• Kabel-, Port- oder Controllerproblem
• Treiber- oder Firmwareproblem

Was zuerst prüfen?

1. Betroffenen Datenträger und Port bestimmen
2. Disk 7, 51, 129 und 153 vergleichen
3. SMART, Kabel und Controller-Treiber prüfen

Was bedeutet das?

Der Speichertreiber hat nach einem Timeout einen Geräte- oder Controllerpfad zurückgesetzt.

Typische Zusammenhänge

• Datenträger antwortet zeitweise nicht
• Controller- oder Verbindungsproblem
• Energieverwaltung, Firmware oder Treiber

Was zuerst prüfen?

1. Provider und betroffenen Gerätepfad exakt notieren
2. Disk 11, 51 und 153 zum selben Zeitpunkt vergleichen
3. SMART, Firmware, Kabel und Controller-Treiber prüfen

Was bedeutet das?

Ein Dienst antwortete innerhalb der vorgesehenen Startzeit nicht. Dienstname und weitere Ereignisse sind für die Ursache entscheidend.

Typische Zusammenhänge

• Langsamer Systemstart
• Dienst oder Abhängigkeit blockiert
• Programm reagiert beim Start nicht

Was zuerst prüfen?

1. Dienstname und Timeout lesen
2. Ereignis 7000, 7001 und 7011 vergleichen
3. Zugehörige Anwendung und Abhängigkeiten prüfen

Was bedeutet das?

Eine Steuerungsanforderung an einen Dienst wurde nicht innerhalb des Zeitlimits beantwortet.

Typische Zusammenhänge

• Dienstprozess hängt
• Hohe Systemlast
• Abhängigkeit oder externe Ressource reagiert nicht

Was zuerst prüfen?

1. Dienstname und Zeitpunkt sichern
2. Application Error 1000 oder Application Hang 1002 vergleichen
3. Systemauslastung und Abhängigkeiten prüfen

Was bedeutet das?

Ein Dienst endete und meldete dabei einen Fehlercode. Der konkrete Code und Dienstname bestimmen die weitere Diagnose.

Typische Zusammenhänge

• Fehlerhafte Dienstkonfiguration
• Fehlende Datei oder Berechtigung
• Programm- oder Abhängigkeitsfehler

Was zuerst prüfen?

1. Dienstname und Fehlercode lesen
2. Zugehörige Anwendung identifizieren
3. Zeitgleiche Anwendungsereignisse prüfen

Was bedeutet das?

Ein Dienstprozess wurde unerwartet beendet. Anders als bei 7031 ist nicht zwingend eine Wiederherstellungsaktion protokolliert.

Typische Zusammenhänge

• Dienst- oder Programmabsturz
• Beschädigte Konfiguration
• Abhängigkeit oder Ressourcenproblem

Was zuerst prüfen?

1. Dienstname und Häufigkeit prüfen
2. Application Error 1000 zum selben Zeitpunkt suchen
3. Zugehörige Software aktualisieren oder reparieren

Was bedeutet das?

Windows Update protokolliert die erfolgreiche Installation eines Updates. Im Ereignis steht die Updatebezeichnung.

Typische Zusammenhänge

• Erfolgreiche Qualitäts- oder Sicherheitsaktualisierung
• Zeitliche Einordnung einer Änderung
• Vergleich mit Problemstart

Was zuerst prüfen?

1. Updatebezeichnung und KB-Nummer notieren
2. Installationszeit mit dem Beginn des Problems vergleichen
3. Bekannte Probleme nur als möglichen Zusammenhang bewerten

Was bedeutet das?

Der Ereignisprotokolldienst hält beim Start die Windows-Version und Buildinformationen fest. Der Eintrag hilft, Neustarts zeitlich zu rekonstruieren.

Typische Zusammenhänge

• Normaler Systemstart
• Vergleich vor und nach einem Update
• Rekonstruktion einer Neustartfolge

Was zuerst prüfen?

1. Mit Kernel-General 12 und EventLog 6005 vergleichen
2. Bei unerwartetem Neustart zusätzlich 41 und 6008 prüfen

Was bedeutet das?

Windows protokolliert den Übergang in einen Ruhe- oder Energiesparzustand und nennt in den Details einen Grund.

Typische Zusammenhänge

• Manuell ausgelöster Standby
• Energieplan oder Zeitlimit
• Deckel- oder Netzschalteraktion

Was zuerst prüfen?

1. Grund und Zielzustand in den Details lesen
2. Bei unerwartetem Standby Energieplan und Eingabegeräte prüfen

Was bedeutet das?

Windows meldet, dass das System aus einem Ruhe- oder Energiesparzustand zurückgekehrt ist.

Typische Zusammenhänge

• Aufwachen aus Standby
• Fortsetzen nach Ruhezustand
• Prüfung von unerwartetem Aufwachen

Was zuerst prüfen?

1. Zeitpunkt mit Power-Troubleshooter-Ereignissen vergleichen
2. Bei unerwartetem Aufwachen Wake-Quelle und Geräteberechtigungen prüfen

Was bedeutet das?

Der Windows-Kernel hat eine Ausschalt- oder Neustartsequenz eingeleitet. Der Ereignistext nennt den Übergang und teilweise den Auslöser.

Typische Zusammenhänge

• Geplanter Neustart
• Energiezustandswechsel
• Herunterfahren durch Systemkomponente

Was zuerst prüfen?

1. Mit User32 1074 und Kernel-General 13 vergleichen
2. Bei unerwartetem Ablauf die unmittelbar vorherigen Systemereignisse prüfen

Was bedeutet das?

Windows Hardware Error Architecture hat einen Hardwarefehlerdatensatz erfasst. Die Record-Felder bestimmen Fehlerquelle und Schwere.

Typische Zusammenhänge

• Hardwarefehlerdatensatz aus Firmware oder Prozessor
• PCIe-, Speicher- oder Buspfad
• Instabilität unter Last

Was zuerst prüfen?

1. Error Source und Record-Inhalt sichern
2. Zeitgleiche WHEA- und Kernel-Power-Ereignisse vergleichen
3. Tuning auf Standard zurücksetzen

Was bedeutet das?

WHEA meldet einen korrigierten Hardwarefehler. Die Fehlerquelle im Datensatz ist wichtiger als die Nummer allein.

Typische Zusammenhänge

• Korrigierter CPU-, Speicher- oder Busfehler
• Grenzwertige Firmware- oder Tuningeinstellung
• Wiederkehrender Fehler unter bestimmter Last

Was zuerst prüfen?

1. Fehlerquelle und Häufigkeit vergleichen
2. BIOS-Standardwerte testen
3. Temperaturen und Hardwarepfad dokumentieren

Was bedeutet das?

WHEA hat einen nicht korrigierten Fehlerdatensatz protokolliert. Je nach Record kann der Speicher-, Cache- oder Buspfad beteiligt sein.

Typische Zusammenhänge

• Speicherpfad oder Memory Controller
• CPU-Cache oder Interconnect
• Instabile RAM-Konfiguration

Was zuerst prüfen?

1. Error Type, Bank und Adressangaben sichern
2. XMP oder EXPO testweise deaktivieren
3. RAM-Module und Steckplätze kontrolliert einzeln prüfen

Was bedeutet das?

WHEA hat einen korrigierten Fehler im Speicherpfad gemeldet. Wiederholung und Record-Details entscheiden über die Relevanz.

Typische Zusammenhänge

• RAM-Modul oder Speichercontroller
• XMP-/EXPO-Stabilität
• Mainboard- oder Steckplatzkontakt

Was zuerst prüfen?

1. Häufigkeit und Speicheradresse vergleichen
2. RAM bei Standardwerten testen
3. Module und Steckplätze nur bei Bedarf einzeln gegenprüfen

Was bedeutet das?

NTFS konnte zwischengespeicherte Daten nicht vollständig auf ein Volume schreiben. Verbindung, Datenträger oder Dateisystem können beteiligt sein.

Typische Zusammenhänge

• Unterbrochene Verbindung zu externem Laufwerk
• I/O-Fehler oder Timeout
• Dateisystem- oder Controllerproblem

Was zuerst prüfen?

1. Wichtige Daten sichern
2. Disk 51, 129, 153 und NTFS 55 vergleichen
3. Verbindung und Hardwarezustand prüfen

Was bedeutet das?

NTFS hat einen Zustand erkannt, der eine vollständige Prüfung ausserhalb des laufenden Zugriffs erfordert.

Typische Zusammenhänge

• Dateisysteminkonsistenz
• Unterbrochene Schreibvorgänge
• I/O-Fehler im Speicherpfad

Was zuerst prüfen?

1. Daten und Hardwarezustand zuerst sichern beziehungsweise prüfen
2. Nur bei unauffälligem Laufwerk Offline-Prüfung planen
3. Zeitgleiche Disk- und NTFS-Ereignisse vergleichen

Was bedeutet das?

NTFS konnte eine Änderung nicht wie vorgesehen im Transaktionsprotokoll festhalten. I/O- oder Dateisystemprobleme sind mögliche Zusammenhänge.

Typische Zusammenhänge

• Dateisysteminkonsistenz
• Datenträger-Timeout
• Filtertreiber oder unterbrochener Schreibzugriff

Was zuerst prüfen?

1. Daten sichern
2. Disk- und NTFS-Begleitereignisse prüfen
3. Hardwarezustand vor Reparaturschritten bewerten

Was bedeutet das?

Windows hat den Datenträger als überraschend entfernt gemeldet. Das kann bei Verbindungsabbruch, Stromverlust oder Geräteausfall auftreten.

Typische Zusammenhänge

• USB- oder SATA-Verbindung unterbrochen
• Stromversorgung des Laufwerks
• Controller- oder Laufwerksreset

Was zuerst prüfen?

1. Kabel, Port und Stromversorgung prüfen
2. Betroffenen Datenträger eindeutig bestimmen
3. Bei internen Laufwerken SMART und weitere Disk-Events vergleichen

Was bedeutet das?

Der Volume Manager konnte die Crashdump-Infrastruktur beim Start nicht initialisieren. Ohne funktionierende Auslagerungs- und Dumpkonfiguration kann bei einem Absturz kein Abbild entstehen.

Typische Zusammenhänge

• Auslagerungsdatei fehlt oder ist ungeeignet
• Crashdump-Konfiguration unvollständig
• Erster Start nach Neuinstallation

Was zuerst prüfen?

1. Auslagerungsdatei und Speicherabbild-Einstellung prüfen
2. Freien Speicher auf dem Systemlaufwerk kontrollieren
3. Nach erneuter Konfiguration auf Wiederholung achten

Was bedeutet das?

Der Service Control Manager meldet, dass ein Dienst gestartet oder beendet wurde. Der Dienstname und Zielzustand stehen im Text.

Typische Zusammenhänge

• Normaler Dienststart oder -stopp
• Manuelle Änderung
• Folge eines Programmstarts oder Updates

Was zuerst prüfen?

1. Dienstname und Zielzustand lesen
2. Nur bei unerwarteter Wiederholung nach Begleitereignissen suchen

Was bedeutet das?

Windows protokolliert eine Änderung am Starttyp eines Dienstes, etwa von manuell auf automatisch.

Typische Zusammenhänge

• Softwareinstallation oder Update
• Administrative Änderung
• Sicherheits- oder Wartungswerkzeug

Was zuerst prüfen?

1. Dienstname, alten und neuen Starttyp lesen
2. Zeitpunkt mit Installation oder Update vergleichen
3. Nur unerwartete Änderungen weiter untersuchen

Was bedeutet das?

Ein neuer Windows-Dienst oder Treiberdienst wurde registriert. Name, Starttyp und Binärpfad stehen im Ereignis.

Typische Zusammenhänge

• Software- oder Treiberinstallation
• Unternehmensverwaltung
• Möglicher Persistenzmechanismus bei unbekanntem Pfad

Was zuerst prüfen?

1. Dienstname und vollständigen Binärpfad prüfen
2. Zeitpunkt mit bewusster Installation vergleichen
3. Bei unbekanntem Hersteller Signatur und Defender-Befund kontrollieren

Was bedeutet das?

Windows Update meldet, dass ein Neustart erforderlich ist, um einen Aktualisierungsvorgang abzuschliessen.

Typische Zusammenhänge

• Qualitäts- oder Sicherheitsupdate
• Ausstehender Neustart
• Fortsetzung der Wartung nach Reboot

Was zuerst prüfen?

1. Updatebezeichnung und KB-Nummer lesen
2. Offene Arbeiten sichern und kontrolliert neu starten
3. Danach Updateverlauf prüfen

Was bedeutet das?

Windows Update hat den Download eines Updates begonnen.

Typische Zusammenhänge

• Automatische Updatesuche
• Manuell gestartetes Update
• Fortsetzung eines Downloads

Was zuerst prüfen?

1. Bei Hänger spätere Ereignisse und Updateverlauf prüfen
2. Netzwerk und freien Speicher nur bei wiederholtem Stillstand untersuchen

Was bedeutet das?

Windows Update hat den Download eines Updates abgeschlossen. Die Installation kann danach separat erfolgen.

Typische Zusammenhänge

• Update vollständig geladen
• Installation steht noch aus
• Vergleich mit Ereignis 19 oder 20

Was zuerst prüfen?

1. Nach Ereignis 19, 20 oder ausstehendem Neustart suchen
2. KB-Nummer im Updateverlauf vergleichen

Was bedeutet das?

Microsoft Defender Antivirus hat einen Schnell-, Voll- oder benutzerdefinierten Scan begonnen.

Typische Zusammenhänge

• Geplanter Scan
• Manuell gestartete Prüfung
• Prüfung nach Sicherheitswarnung

Was zuerst prüfen?

1. Scan-Typ und Benutzer lesen
2. Auf Abschlussereignis 1001 oder Abbruch 1002 achten

Was bedeutet das?

Microsoft Defender Antivirus hat einen Scan beendet und protokolliert Typ und Dauer.

Typische Zusammenhänge

• Schnell- oder Vollscan beendet
• Kontrolle nach Verdacht
• Geplanter Systemscan

Was zuerst prüfen?

1. Scan-Typ und Dauer prüfen
2. Für Funde Ereignis 1116 und 1117 kontrollieren

Was bedeutet das?

Ein Defender-Scan endete, bevor er vollständig abgeschlossen war. Im Ereignis stehen Typ, Benutzer und Laufzeit.

Typische Zusammenhänge

• Benutzer hat Scan beendet
• Neustart oder Energiesparzustand
• Scanfehler oder Ressourcenproblem

Was zuerst prüfen?

1. Abbruchzeitpunkt und Benutzer prüfen
2. Scan erneut kontrolliert starten
3. Bei wiederholtem Abbruch Defender-Fehlerereignisse prüfen

Was bedeutet das?

Defender hat Malware oder potenziell unerwünschte Software erkannt. Name, Schweregrad, Pfad und Prozess stehen in den Details.

Typische Zusammenhänge

• Malware- oder PUA-Erkennung
• Verdächtige Datei oder Prozess
• Fund während Echtzeitschutz oder Scan

Was zuerst prüfen?

1. Bedrohungsname, Pfad und Prozess sichern
2. Auf Aktionsereignis 1117 oder Fehler 1119 prüfen
3. Bei Ransomware Netzwerkverbindung trennen und normale Reparatur stoppen

Was bedeutet das?

Defender hat auf eine erkannte Bedrohung reagiert, etwa blockiert, isoliert, bereinigt oder entfernt.

Typische Zusammenhänge

• Datei in Quarantäne
• Bedrohung blockiert oder entfernt
• Bereinigung nach Erkennung

Was zuerst prüfen?

1. Aktion und Status im Ereignis lesen
2. Schutzverlauf und Folgeprüfung kontrollieren
3. Bei wiederkehrendem Fund Ursprung und betroffene Konten prüfen

Was bedeutet das?

Der Echtzeitschutz von Microsoft Defender Antivirus wurde ausgeschaltet. Das kann manuell, durch Richtlinie oder durch eine andere Sicherheitslösung geschehen.

Typische Zusammenhänge

• Andere Antiviruslösung aktiv
• Administrative Richtlinie
• Unerwartete Sicherheitsänderung

Was zuerst prüfen?

1. Aktiven Virenschutz in Windows-Sicherheit prüfen
2. Zeitpunkt mit Installation oder Richtlinienänderung vergleichen
3. Bei unerwarteter Änderung vollständigen Scan starten

Was bedeutet das?

Defender protokolliert eine Konfigurationsänderung und nennt alten sowie neuen Wert.

Typische Zusammenhänge

• Windows- oder Signaturupdate
• Administrative Richtlinie
• Unerwartete Schutzänderung

Was zuerst prüfen?

1. Alten und neuen Wert lesen
2. Änderungszeitpunkt mit Updates oder Installation vergleichen
3. Nur unerwartete oder wiederholte Änderungen weiter untersuchen

Was bedeutet das?

Ein User-Mode-Driver-Framework-Treiber wurde beim Anschliessen oder Starten eines Geräts zunächst nicht geladen. Windows versucht den Start normalerweise erneut.

Typische Zusammenhänge

• USB- oder tragbares Gerät
• UMDF-Dienst noch nicht bereit
• Treiberstart beim Booten

Was zuerst prüfen?

1. Geräteinstanz im Ereignis bestimmen
2. Gerätemanager auf tatsächlichen Fehler prüfen
3. Nur bei Wiederholung und Funktionsproblem Treiber aktualisieren

Was bedeutet das?

Windows Driver Frameworks startet die User-Mode-Treiberumgebung für ein Gerät. Der Eintrag kann zusammen mit Kernel-PnP 219 auftreten.

Typische Zusammenhänge

• USB- oder portables Gerät wird initialisiert
• Nachgeladener UMDF-Treiber
• Begleitereignis zu Kernel-PnP 219

Was zuerst prüfen?

1. Prüfen, ob das Gerät danach normal funktioniert
2. Bei Problemen Geräteinstanz und Kernel-PnP 219 vergleichen

Was bedeutet das?

Keiner der konfigurierten DNS-Server beantwortete die genannte Anfrage innerhalb des Zeitlimits.

Typische Zusammenhänge

• Kurzzeitige Verbindungsunterbrechung
• DNS-Server nicht erreichbar
• VPN-, Firewall- oder Routerproblem

Was zuerst prüfen?

1. Betroffenen Namen und DNS-Server lesen
2. Prüfen, ob andere Geräte oder Namen betroffen sind
3. Netzwerkverbindung vor einem Reset mit ipconfig und nslookup eingrenzen

Was bedeutet das?

Eine Komponente versuchte, einen COM-Server mit einer nicht gewährten lokalen Aktivierungsberechtigung zu verwenden. Bestimmte 10016-Varianten sind erwartetes Windows-Verhalten.

Typische Zusammenhänge

• Windows-Komponente verwendet vorgesehenen Fallback
• App-Container und lokale Aktivierung
• Häufiges folgenloses Systemereignis

Was zuerst prüfen?

1. CLSID und APPID nur bei passendem sichtbarem Fehler zuordnen
2. Ohne reproduzierbares Symptom keine Berechtigungen verändern
3. Bei Funktionsproblem zuerst betroffene Anwendung identifizieren