Sporadische Systemhänger können ärgerlich sein und die Produktivität stark beeinträchtigen. In Windows 11 gibt es jedoch effektive Methoden, um Event Tracing zu aktivieren und die Ursachen für solche Probleme zu analysieren. Durch gezielte Diagnoseschritte lassen sich oft schneller Lösungen finden und die Systemeinstellungen optimieren.
Was ist Event Tracing?
Event Tracing ist ein leistungsfähiges Diagnosetool von Windows, das detaillierte Daten über die Interaktion von Software und Hardware auf Ihrem System erfasst. Es hilft dabei, Probleme wie Systemhänger, unerwartete Abstürze oder Leistungseinbußen zu identifizieren. Wenn Sie wissen, wie Sie Event Tracing aktivieren, können Sie wertvolle Einblicke in das Systemverhalten gewinnen.
Warum treten sporadische Systemhänger auf?
Es gibt viele Ursachen für gelegentliche Systemhänger, darunter:
- Überlastung des Arbeitsspeichers durch laufende Anwendungen
- Konflikte zwischen Treibern oder Software
- Veraltete Hardware, die nicht mit den neuesten Updates kompatibel ist
- Fehlkonfigurationen im System
Event Tracing aktivieren
Um Event Tracing in Windows 11 zu aktivieren, führen Sie die folgenden Schritte aus:
- Drücken Sie die Tastenkombination Win + X und wählen Sie Windows Terminal (Administrator).
- Geben Sie den Befehl reg add „HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlWMIAutoLoggerEventLog“ /v Enable /t REG_DWORD /d 1 /f ein und drücken Sie Enter.
- Um die Protokollaufnahme zu starten, verwenden Sie den Befehl logman start MyTrace -p „Microsoft-Windows-EventTracing/Operational“ -o %TEMP%MyTrace.etl.
- Warten Sie zur Analyse der Systemhänger einige Zeit ab und stoppen Sie dann das Protokollieren mit dem Befehl logman stop MyTrace.
Analyse der gesammelten Daten
Nachdem Sie die ETL-Datei (Event Trace Log) erstellt haben, können Sie diese mit dem Windows Performance Analyzer (WPA) oder anderen Werkzeugen analysieren, um gezielt nach Anomalien oder Fehlern zu suchen. Hier sind einige Tipps, wie Sie die Daten analysieren können:
- Suchen Sie nach Latenzen in den Daten, die auf Verzögerungen hinweisen.
- Identifizieren Sie wiederkehrende Fehler oder Warnungen in den Aufzeichnungen.
- Vergleichen Sie die Performance-Daten vor und nach der Aktivierung des Event Tracings.
Praxisbeispiele für die Anwendung von Event Tracing
Praxisbeispiel 1: Diagnose eines hängenden Programms
Wenn ein bestimmtes Programm häufig hängt, können Sie gezielt dieses Programm während des Event Tracings laufen lassen und die Aufzeichnungen nach spezifischen Hinweisen auf Softwarekonflikte oder Ressourcenengpässe untersuchen.
Praxisbeispiel 2: Überprüfung der Treiberintegrität
Bei sporadischen Systemhängern kann es hilfreich sein, alle Treiber beim Event Tracing zu berücksichtigen. Analysieren Sie, ob eine bestimmte Treiberinteraktion zu den Hängern führt.
Praxisbeispiel 3: Hardwareanalysen durchführen
Um sicherzustellen, dass Ihre Hardware die aktuellen Anforderungen erfüllt, verwenden Sie Event Tracing, um zu prüfen, ob es Hardware-internen Fehler gibt, die möglicherweise zu den Systemhängern führen.
Tipps zur Vermeidung von Systemhängern
Um sporadische Systemhänger langfristig zu vermeiden, können die folgenden Maßnahmen helfen:
- Halten Sie Ihre Software und Treiber stets auf dem neuesten Stand.
- Reduzieren Sie die Anzahl gleichzeitig geöffneter Programme, um die Systemressourcen zu entlasten.
- Regelmäßige Systemüberprüfungen und Wartungsarbeiten durchführen, um sicherzustellen, dass alles einwandfrei funktioniert.
Systemweite Ablaufverfolgung mit der Eingabeaufforderung steuern
Viele Leistungs- und Hängerprobleme lassen sich besser nachvollziehen, wenn die Ereignisablaufverfolgung nicht nur in einzelnen Werkzeugen, sondern systemweit per Kommandozeile gesteuert wird. Windows 11 bringt dafür das Werkzeug logman mit, das auch auf Servern und in Skripten eingesetzt wird und sehr präzise Kontrolle über Event Tracing-Sitzungen ermöglicht.
Um eine eigene Ablaufverfolgungssitzung anzulegen, eignet sich die Eingabeaufforderung mit administrativen Rechten. Auf diesem Weg lassen sich mehrere Quellen bündeln, etwa Kernel-Ereignisse und Treiberereignisse. Der typische Weg sieht so aus:
- Eingabeaufforderung oder PowerShell über das Startmenü suchen.
- Mit Rechtsklick als Administrator ausführen.
- Mit logman-Befehlen eine neue Trace-Sitzung einrichten.
Ein Beispiel für die Erstellung einer leichten Kernel-Ablaufverfolgung für kurze Analysen könnte folgendermaßen aufgebaut sein:
- logman create trace KernelTrace -p „Windows Kernel Trace“ 0xFFFF 0x5 -nb 16 256 -bs 1024 -o C:Traceskernel.etl
- logman start KernelTrace
- Die Systemhänger provozieren oder abwarten.
- logman stop KernelTrace zum Beenden.
Die genutzten Parameter legen unter anderem die Pufferzahl, die Puffergröße und die Art der erfassten Kernel-Ereignisse fest. Für eine erste Analyse reichen Standardwerte meist aus, wichtig ist jedoch, dass der Speicherbedarf beim Aufzeichnen überschaubar bleibt. Wer wiederkehrende Probleme untersucht, kann sich eigene Skripte erstellen, die eine Ablaufverfolgungssitzung starten, einige Minuten laufen lassen und anschließend automatisch stoppen. Die entstehenden .etl-Dateien lassen sich danach mit denselben Analysewerkzeugen auswerten, die auch grafische Oberflächen verwenden.
Nützlich ist außerdem die Option, Sitzungen bei jedem Systemstart automatisch zu aktivieren. Dafür eignet sich ein geplante Aufgabe, die einen logman start-Befehl mit hohen Rechten beim Hochfahren ausführt. Auf diese Weise werden auch Hänger erfasst, die bereits sehr früh im Bootvorgang auftreten, etwa durch fehlerhafte Treiber oder Dienste.
Typische Ereignisquellen und Provider für die Hängeranalyse
Damit Ablaufverfolgungsdaten aussagekräftig werden, kommt es auf die Auswahl der richtigen Provider an. Windows 11 stellt eine Vielzahl von Quellen bereit, die Spezialbereiche wie Speicherverwaltung, Dateizugriffe, Grafik oder Netzwerk abdecken. Nicht jede Quelle ist für jede Fehlersuche sinnvoll, für sporadische Systemhänger gibt es jedoch einige bewährte Kandidaten.
Für eine systemnahe Analyse eignen sich vor allem:
- Microsoft-Windows-Kernel-Processor-Power für Informationen zu Stromsparzuständen und Taktwechseln.
- Microsoft-Windows-Kernel-Power für tiefergehende Energie- und Leistungsereignisse einschließlich zu langer Ausführungszeiten.
- Microsoft-Windows-DxgKrnl für Grafikereignisse und Verzögerungen im GPU-Stack.
- Microsoft-Windows-Storage-ClassPnP und verwandte Storage-Provider für Auffälligkeiten bei Laufwerken.
- Microsoft-Windows-Win32k für Eingabe- und Fensterverwaltungsereignisse, die bei gefühlten Einfrierern oft eine Rolle spielen.
Viele Oberflächenwerkzeuge bringen bereits vordefinierte Sitzungen mit, die genau solche Provider bündeln. In der Leistungsüberwachung und im Ereignisanzeige-Umfeld finden sich unter den Benutzerdefinierten Ansichten oder den Datensammlern häufig Vorlagen, die sich leicht kopieren und anpassen lassen. Wer lieber in der Kommandozeile arbeitet, kann mit logman query providers alle verfügbaren Anbieter auflisten und anhand der Beschreibung passende Quellen auswählen.
Für Anwendungen mit eigenen ETW-Providern, etwa große Office-Pakete, Browser oder Datenbankdienste, lohnt sich ein Blick in die Dokumentation der jeweiligen Software. Viele Hersteller beschreiben, welche Provider für Supportfälle zu aktivieren sind und welche Ereignisfelder bei der Auswertung besonders wichtig sind. Werden solche Quellen gemeinsam mit Kernel- und Systemprovidern aufgezeichnet, lassen sich Zusammenhänge zwischen Anwendungscode und Betriebssystem deutlich besser erkennen.
Provider-Auswahl nach Symptomatik
Die Auswahl der Quellen lässt sich gut an der Art des Problems ausrichten. Hilfreich ist eine Gliederung nach Symptomen:
- Eingabeverzögerungen und ruckelnde Mausbewegungen: Grafikprovider, Kernel-Input, Win32k und Scheduler-relevante Kernelquellen.
- Hänger bei Dateioperationen: Storage-Provider, Dateisystemanbieter, eventuell Antivirus-bezogene Quellen, falls verfügbar.
- Aussetzer bei Netzwerkzugriffen: Netzwerkstack-Provider, TCP/IP-Ereignisquellen sowie die Provider von VPN- oder Security-Suiten.
- Unter Last stockendes System: Kernel-Processor-Power, CPU-Scheduler, Speicherverwaltung und optional GPU-spezifische Provider.
In der Praxis lohnt es sich, lieber wenige, aber zielgerichtete Provider zu aktivieren, damit die Trace-Dateien übersichtlich und gut auswertbar bleiben. Übermäßig viele Quellen erhöhen zwar die Detailtiefe, erschweren aber die Arbeit im Profiler oder in der Timeline-Ansicht der Analysewerkzeuge.
Vorgehen bei der Auswertung: Von der Zeitleiste zur Ursache
Die reine Erfassung von ETL-Dateien bringt noch keine Erkenntnis, entscheidend ist die strukturierte Auswertung. Auf modernen Systemen bietet es sich an, ein Werkzeug zu nutzen, das die Ereignisse zeitlich darstellt, Prozesse korreliert und Latenzen farblich hervorhebt. Die meisten spezialisierten Tools für Ablaufverfolgung unter Windows 11 arbeiten nach einem ähnlichen Muster, unabhängig von ihrer Oberfläche.
Bewährt haben sich folgende Schritte bei der Analyse:
- Zeitraum eingrenzen: In der Timeline den Abschnitt suchen, in dem der Hänger wahrgenommen wurde. Orientierung bieten hohe CPU-Spitzen, komplette Einbrüche der Eingabereaktion oder auffällige I/O-Spitzen.
- Betroffene Threads und Prozesse identifizieren: In der Prozessliste nach Anwendungen suchen, deren CPU-Zeit oder Wartezeit im relevanten Zeitfenster ungewöhnlich hoch war.
- Wartegründe untersuchen: Für die auffälligen Threads prüfen, ob sie hauptsächlich auf I/O, Synchronisation, Kernel-Objekte oder andere Ressourcen warten.
- Stacktraces durchsehen: Die Aufrufstapel der betroffenen Threads geben Hinweise, in welcher Bibliothek oder welchem Treiber sich die Verzögerung abspielt.
- Systemereignisse danebenlegen: Energie-, Treiber- oder Fehlerereignisse im gleichen Zeitfenster mit den Threadinformationen abgleichen.
Sobald sich ein Muster abzeichnet, etwa dauerhaft hohe Wartezeiten auf ein bestimmtes Gerät oder immer wieder dieselbe Treiberdatei in den Stacktraces, wird die Hypothese für die Ursache deutlich robuster. An diesem Punkt lassen sich gezielte Gegenmaßnahmen ableiten, zum Beispiel angepasste Energiepläne, Treiberupdates, das Deaktivieren bestimmter Erweiterungen oder die Neuinstallation fehlerhafter Komponenten.
Hilfreich ist es auch, mehrere Ablaufverfolgungen zu verschiedenen Zeitpunkten zu vergleichen. Tritt das Problem immer nur unter bestimmten Lastbedingungen auf, etwa während eines Backups oder eines Spielstarts, lassen sich die Ereignismuster nebeneinanderstellen und Gemeinsamkeiten herausarbeiten. Viele Analysewerkzeuge besitzen Filterfunktionen, mit denen sich einzelne Provider, Prozessnamen oder Threadzustände ein- und ausblenden lassen, sodass der Blick schrittweise auf die wichtigsten Zusammenhänge gelenkt wird.
Typische Muster bei sporadischen Hängern
Bei der Auswertung tauchen bestimmte Muster immer wieder auf, die sich im Zusammenspiel der Ereignisse gut erkennen lassen:
- Lange DPC- oder ISR-Latenzen: Hohe Spitzen bei Deferred Procedure Calls und Interrupt Service Routinen deuten häufig auf Probleme im Treiberbereich hin, etwa mit Netzwerk- oder Audiotreibern.
- Serielle I/O-Engpässe: Ein einzelnes Laufwerk blockiert vehement, weil mehrere Prozesse gleichzeitig großen I/O verursachen, was auf Engpässe bei der Speicherkonfiguration oder fehlerhafte Controller hindeuten kann.
- Überzogene Energiesparübergänge: Die CPU oder einzelne Kerne wechseln zu häufig in tiefe Stromsparzustände, aus denen der Rückweg zu lange dauert, was auf ungeeignete Energiepläne oder fehlerhafte Firmware schließen lässt.
- Blockierte UI-Threads: Die Benutzeroberfläche eines Programms wartet auf lang laufende Operationen im gleichen Thread, wodurch das gesamte Fenster träge reagiert oder scheinbar einfriert.
Solche Muster lassen sich mit reinen Systemlogs oder Ereignisanzeige-Einträgen oft nur schwer erkennen. Erst die zeitliche Korrelation und die Sicht auf Threads und Latenzen zusammen machen deutlich, an welcher Stelle die Reaktionszeit verloren geht. Wird das wiederkehrende Muster klar, kann man sehr gezielt im betroffenen Bereich ansetzen, etwa mit einem Treibertausch, geänderter Hardwarebelegung oder Anpassungen im Energiemanagement.
Automatisierte Ablaufverfolgung für seltene Fehlerbilder
Manche Störungen treten so selten auf, dass man sie während einer manuellen Trace-Sitzung kaum einfangen kann. In solchen Situationen lohnt sich ein automatisierter Ansatz, der im Hintergrund dauerhaft aufzeichnet oder bei bestimmten Auslösern gezielt startet. Unter Windows 11 lassen sich dafür Aufzeichnungsaufgaben mit dem Aufgabenplaner, PowerShell und systemeigenen ETW-Mechanismen kombinieren.
Ein möglicher Ansatz ist ein zweistufiges Verfahren:
- Stufe 1: Eine leichte Überwachung läuft dauerhaft mit reduzierter Detailtiefe und geringer Puffergröße, um den Systemeinfluss niedrig zu halten.
- Stufe 2: Wird ein bestimmtes Ereignis ausgelöst, etwa ein Eintrag im Systemprotokoll oder eine plötzliche Lastspitze, startet automatisch eine hochauflösende Ablaufverfolgung mit erweitertem Provider-Set.
Für die Umsetzung lassen sich folgende Bausteine kombinieren:
- Geplante Aufgaben, die beim Systemstart oder bei bestimmten Triggern Skripte starten.
- PowerShell-Skripte, die logman aufrufen oder direkt ETW-Sitzungen steuern.
- Selbst definierte Ereignisprotokolle, die bei besonderen Systemzuständen geschrieben werden und als Auslöser für Aufgaben dienen.
Ein häufig genutzter Ansatz besteht darin, die CPU-Auslastung oder die Dauer bestimmter Kerneloperationen zu überwachen und ab einem Schwellwert die detaillierte Trace-Sitzung zu aktivieren. Auf diese Weise werden nur die wirklich interessanten Minuten mit hoher Detailstufe aufgezeichnet, während der alltägliche Betrieb nicht mit Daten überflutet wird.
Für produktive Umgebungen empfiehlt es sich, Speicherort und Rotationsstrategie der Trace-Dateien sorgfältig zu planen. Sinnvoll sind getrennte Laufwerke oder Verzeichnisse mit ausreichend freiem Speicher sowie Skripte
Häufige Fragen zu Windows 11 Event Tracing
Wie erkenne ich, ob Event Tracing bereits aktiv ist?
Am einfachsten prüfen Sie den Status über die Ereignisanzeige und den Bereich für Ablaufverfolgungsprotokolle. Wenn dort Sitzungen mit aktuellem Zeitstempel und wachsender Protokollgröße erscheinen, läuft bereits eine Nachverfolgung. Alternativ können Sie in einer administrativen Eingabeaufforderung mit den passenden logman-Befehlen aktive Sitzungen auflisten.
Welche ETW-Sitzungen sind für Systemhänger besonders wichtig?
Bei unerwarteten Pausen im System sind Sitzungen relevant, die CPU, Speicher, I/O und Treiberaktivitäten erfassen. Dazu gehören unter anderem Kernel-Sitzungen sowie zusätzliche Provider für Speicher, Grafik und Massenspeicher. In vielen Fällen reicht eine gezielte Kernel-Ablaufverfolgung mit passenden Flags, um Engpässe sichtbar zu machen.
Wie lange sollte ich ein Trace bei sporadischen Hängern laufen lassen?
Die Dauer hängt davon ab, wie häufig die Störung auftritt. Bei Problemen, die mehrmals pro Stunde erscheinen, reicht oft eine Aufzeichnung von 10 bis 20 Minuten, die den Störfall einschließt. Bei sehr seltenen Aussetzern kann es sinnvoll sein, die Sitzung über Stunden mit begrenzter Puffergröße und Dateiumlauf aktiv zu lassen.
Wie groß darf eine ETL-Datei werden, ohne das System zu belasten?
Für die meisten Analysen reichen einige hundert Megabyte völlig aus, da die relevanten Ereignisse im kritischen Zeitraum liegen. Über eine maximale Dateigröße und einen Umlaufmodus verhindern Sie, dass Protokolle unkontrolliert wachsen und Speicherplatz binden. Nur für tiefe Langzeitanalysen sind größere Limits sinnvoll, die aber immer zum verfügbaren Speicher passen sollten.
Welche Werkzeuge eignen sich am besten für die Auswertung der ETL-Dateien?
Für detaillierte Analysen sind Werkzeuge aus dem Windows Leistungs-Toolkit besonders hilfreich, da sie Zeitachsen, Stapeltraces und Filtermöglichkeiten bieten. Ergänzend können Sie die Ereignisanzeige oder PowerShell nutzen, um bestimmte Provider-Events zu durchsuchen. Je nach Problemstellung kombiniert man oft ein visuelles Analysewerkzeug mit skriptbasierter Auswertung.
Kann Event Tracing selbst Systemhänger verursachen?
Bei typischen Einstellungen ist die Leistungsbelastung gering und im Alltag kaum spürbar. Lediglich bei sehr vielen aktivierten Providern, hoher Ereignisdichte und unlimitierten Puffern kann es zu Mehrbelastung kommen. Deshalb empfiehlt sich eine gezielte Auswahl der Provider sowie die Begrenzung von Puffergrößen und Dateigrößen.
Wie gehe ich vor, wenn der Hänger bereits beim Systemstart auftritt?
In diesem Fall ist eine bootbezogene Ablaufverfolgung sinnvoll, die schon vor der Benutzeranmeldung startet. Diese lässt sich zum Beispiel über spezielle Boot-Traces oder vordefinierte Startprofile des Leistungs-Toolkits einrichten. Anschließend analysieren Sie, welche Treiber oder Dienste im frühen Startprozess besonders lange blockieren.
Was ist zu tun, wenn im Trace keine offensichtliche Ursache zu finden ist?
In solchen Situationen lohnt sich ein zweiter Messlauf mit erweiterten Providern, etwa für Speicherverwaltung, Dateisystem oder Netzwerk. Zusätzlich sollten Sie die Zeitleiste mit bekannten Zeitpunkten wie Benutzeraktionen oder beobachteten Symptomen abgleichen. Hilfreich ist auch ein Vergleich mehrerer Traces, um wiederkehrende Muster und immer gleiche Engpässe zu erkennen.
Lassen sich mit Event Tracing auch Probleme mit Drittanbieter-Software aufspüren?
Viele Anwendungen registrieren eigene Provider, deren Ereignisse sich genauso wie Systemprovider protokollieren lassen. Selbst wenn ein Programm kein eigenes Protokoll anbietet, kann man über CPU-Auslastung, I/O-Muster und Threadverhalten im Trace Rückschlüsse ziehen. Auf diese Weise identifizieren Sie häufig Blockaden, ineffiziente Schleifen oder lange Wartezeiten auf externe Ressourcen.
Wie kann ich die gesammelten Traces sicher aufbewahren oder weitergeben?
Speichern Sie ETL-Dateien in einem separaten Ordner und versehen Sie sie mit Datum, Rechnername und kurzer Problembeschreibung, um den Überblick zu behalten. Sensible Daten lassen sich durch Verschlüsselung oder Archivierung mit Passwortschutz absichern, bevor Sie die Dateien an einen Experten weitergeben. Zusätzlich sollten Sie intern dokumentieren, mit welchen Providern und Einstellungen die jeweilige Sitzung erstellt wurde.
Gibt es sinnvolle Voreinstellungen, die ich dauerhaft beibehalten kann?
Für Rechner mit wiederkehrenden Störungen bietet sich eine feste Konfiguration an, die bei Bedarf schnell aktiviert werden kann. Dazu erstellen Sie z. B. logman-Skripte oder eigene Vorlagen im Leistungswerkzeug, die typische Kernel- und Systemprovider enthalten. So sparen Sie bei jeder neuen Analysezeit und erhalten vergleichbare Daten.
Wie unterscheidet sich Event Tracing von klassischen Windows-Logs?
Normale Protokolle wie Anwendungs- und Systemlog erfassen eher komprimierte Meldungen, während ETW sehr detaillierte, zeitlich fein aufgelöste Ereignisse liefert. Für Performancefragen und kurze Aussetzer sind diese feingranularen Informationen meist deutlich aussagekräftiger. Deshalb ergänzen sich klassische Logs und ETW-Erfassung, statt sich gegenseitig zu ersetzen.
Fazit
Durch gezieltes Event Tracing unter Windows 11 lassen sich kurzzeitige Systemhänger wesentlich genauer eingrenzen als mit klassischen Protokollen. Sauber organisierte, geschützte ETL-Dateien und wiederverwendbare Voreinstellungen erleichtern sowohl die eigene Analyse als auch die Zusammenarbeit mit Experten und liefern belastbare Grundlagen für nachhaltige Optimierungen.
