Windows 2000: Ereignisprotokolle sichern und lesbar prüfen
Vor einer Reparatur oder Migration eines Windows-2000-Rechners sichern Sie dessen Ereignisprotokolle. Die folgenden Schritte erstellen Diagnosekopien, ohne die laufenden Protokolle zu leeren. Sie sind für ein vorhandenes, abgeschottetes Altsystem gedacht; für den Export ist kein Internetzugang nötig.
1. Fehler und Rechner zuordnen
Notieren Sie Rechnername, Windows-Version und Service Pack sowie Zeitpunkt und beobachtetes Verhalten. Halten Sie auch die am Rechner eingestellte Zeitzone und eine bekannte Abweichung seiner Uhr fest. Ändern Sie die Uhr während der Aufnahme nicht. Eine Ereignisnummer allein ist nicht eindeutig: Quelle und Beschreibung gehören dazu.
2. Die richtigen Protokolle öffnen
Öffnen Sie über die Systemsteuerung die Verwaltung und darin die Ereignisanzeige. Alternativ finden Sie diese in der Computerverwaltung unter System. Sichern Sie mindestens System und Anwendung getrennt. Je nach Serverrolle gibt es weitere Protokolle. Das Sicherheitsprotokoll benötigt besondere Rechte und enthält nur entsprechend eingerichtete Überwachungsereignisse; ändern Sie dafür jetzt keine Überwachungsrichtlinien.
3. Erst EVT, dann eine lesbare Ergänzung
- Markieren Sie das gewünschte Protokoll. Wählen Sie im Kontextmenü die Funktion zum Speichern der Protokolldatei (englisch Save Log File As), nicht zum Löschen aller Ereignisse.
- Speichern Sie mit Dateityp Ereignisprotokoll (*.evt) in einem neuen Sicherungsordner, beispielsweise
PC01-System-2000-06-15.evt. Verwenden Sie den tatsächlichen Erfassungszeitpunkt und überschreiben Sie keine ältere Sicherung. - Wiederholen Sie den Export für dasselbe Protokoll als Text oder CSV. Dieser zweite Export ist eine lesbare Ergänzung, kein Ersatz für EVT. Bei einem laufenden System können zwischen beiden Exporten neue Ereignisse hinzukommen.
- Wiederholen Sie die Schritte für jedes relevante Protokoll. Notieren Sie Exportzeit und Protokolltyp in einer Begleitdatei.
4. Die Sicherung tatsächlich öffnen
Wählen Sie am Knoten Ereignisanzeige Open Log File (Protokolldatei öffnen), die gespeicherte EVT-Datei und den passenden Protokolltyp. Das Archiv erscheint als eigene Ansicht. Prüfen Sie ältere und neuere Einträge sowie konkrete Ereignisse um den Fehlerzeitpunkt: Quelle, Ereignisnummer und Beschreibung müssen zum Original passen. Öffnen Sie auch den Text-Export und prüfen Sie Umlaute und mehrzeilige Beschreibungen.
Testen Sie anschließend eine Kopie am vorgesehenen Diagnoseplatz. Nicht jedes neuere Werkzeug stellt alte EVT-Dateien und deren Beschreibungen gleich dar; fehlende Beschreibungen können von nicht vorhandenen Meldungsressourcen abhängen. Bewahren Sie deshalb den am Ursprungssystem lesbar geprüften Text-Export und gegebenenfalls die Details wichtiger Einzelereignisse zusätzlich auf. Ein erfolgreicher Kopiervorgang allein ist keine Lesbarkeitsprüfung.
5. Grenzen und Übergabe
Ein Archiv enthält nur noch vorhandene Ereignisse. Bereits überschriebene oder nie protokollierte Vorgänge werden durch den Export nicht rekonstruiert. Zeitliche Nähe zu einem Fehler beweist noch keine Ursache. Übergeben Sie die Dateien geschützt an die zuständige Diagnoseperson: Protokolle können Benutzer-, Rechner- und Pfadnamen enthalten. Lassen Sie Originalprotokolle, Größenlimits und Überschreibregeln für diese Sicherung unverändert. Ist ein Export nicht lesbar, klären Sie das vor Reparatur, Neuinstallation oder Migration.
