Ereignisanzeige (Event Log)
Die Ereignisanzeige (Event Viewer) ist das wichtigste Diagnosewerkzeug auf einem Windows Server. Wenn ein Dienst nicht startet, ein Benutzer sich nicht anmelden kann, ein Backup fehlschlägt oder der DC Probleme hat – immer ist der erste Blick die Ereignisanzeige. Sie protokolliert alles was auf dem System passiert: Systemstarts, Anmeldungen, Fehler, Warnungen, Sicherheitsereignisse. Jedes Ereignis hat eine eindeutige Event-ID, die dir hilft das Problem schnell zu googeln und zu verstehen.
Stell dir die Ereignisanzeige wie das Bordbuch eines Schiffs vor: Alles wird eingetragen – auch Dinge, die im Moment unwichtig erscheinen. Wenn später etwas schiefgeht, weißt du genau was vorher passiert ist. In der Praxis schaust du nicht das gesamte Bordbuch durch, sondern filterst gezielt nach Fehlern und Warnungen in den relevanten Zeiträumen.
1) Die wichtigsten Log-Kategorien
Die Ereignisanzeige ist in mehrere Kategorien unterteilt. Die vier klassischen Windows-Logs kennt jeder, aber für die Server-Administration sind auch die Anwendungs- und Dienste-Protokolle wichtig – dort loggen z.B. Active Directory, DNS und der Zertifikatsdienst (ADCS):
| Log | Was drin steht | Typische Fehler |
|---|---|---|
| System | Kernel, Treiber, Dienste, Hardware | Dienst kann nicht starten, Treiberfehler, Kernel-Panic (BSOD) |
| Application | Fehler von installierten Programmen | Datenbankfehler, IIS-Abstürze, SQL-Server-Probleme |
| Security | Anmeldeereignisse, Berechtigungszugriffe | Fehlgeschlagene Logins, Audit-Events, Kontosperrungen |
| Setup | Installations- und Update-Ereignisse | Fehlgeschlagene Updates, Rollback |
| Directory Service | Active Directory Replikation, DC-Ereignisse | Replikationsfehler zwischen DCs, SYSVOL-Probleme |
| DNS Server | DNS-Anfragen, Zonenfehler | Zone kann nicht geladen werden, Delegationsfehler |
2) Interaktiver Event-Viewer – klicke ein Ereignis
Jedes Ereignis in der Ereignisanzeige hat eine Stufe (Fehler, Warnung, Information), eine Event-ID, eine Quelle und eine Beschreibung. Die Event-ID ist der wichtigste Teil – sie identifiziert den Ereignistyp eindeutig. Mit der Event-ID kannst du gezielt in der Microsoft-Dokumentation oder bei Microsoft Learn nach der Ursache und Lösung suchen. Klicke unten auf ein Ereignis, um die Detailansicht zu sehen:
repadmin /showrepl und dcdiag /test:replications.
3) Ereignisse per PowerShell abfragen
Für die tägliche Administration ist PowerShell oft schneller als das manuelle Durchklicken in der grafischen Ereignisanzeige. Besonders nützlich für Remote-Server oder wenn du mehrere Server auf einmal prüfen willst:
| Aufgabe | PowerShell |
|---|---|
| Letzte 20 System-Fehler | Get-EventLog -LogName System -EntryType Error -Newest 20 |
| Event-ID 4776 suchen | Get-WinEvent -FilterHashtable @{LogName='Security';Id=4776} -MaxEvents 10 |
| Ereignisse auf Remote-Server | Get-WinEvent -ComputerName SRV-DC02 -FilterHashtable @{LogName='System';Level=2} |
| Log nach Zeit filtern | Get-WinEvent -FilterHashtable @{LogName='Application';StartTime='2024-01-01';EndTime='2024-01-02'} |
Zusammenfassung
Ereignisanzeige ist das primäre Diagnosewerkzeug auf Windows Server. Wichtigste Logs: System, Application, Security, Directory Service, DNS. Event-IDs eindeutig identifizieren Ereignistypen. Wichtige IDs kennen: 4776 (fehlgeschlagenes Login), 7034 (Dienst abgestürzt), 1311 (AD-Replikationsfehler), 4624 (erfolgreicher Login). PowerShell für schnelle Filterabfragen und Remote-Zugriff.