Command Line For Event Viewer

Okay, stellt euch vor: Ich sitze da, mitten in der Nacht, Deadline für ein Projekt steht vor der Tür, und mein Laptop beschließt, er sei ein Weihnachtsbaum. Er blinkt und piept, aber ohne die festliche Stimmung. Panik! Ich klicke wie wild auf alles, was nicht bei drei auf den Bäumen ist, aber nichts hilft. Und dann erinnere ich mich an einen alten Trick…

Der Trick? Die Eingabeaufforderung! Klingt gruselig, ich weiß. Aber glaubt mir, sie kann dein bester Freund sein, wenn Windows mal wieder Zicken macht. Und heute geht's darum, wie du die Eingabeaufforderung nutzen kannst, um dir den Event Viewer unter den Nagel zu reißen. Der Event Viewer ist nämlich nicht nur dieses GUI-Ding, wo du dich durch Menüs klickst, sondern auch per Kommandozeile steuerbar!

Warum die Kommandozeile für den Event Viewer?

Na, warum nicht? Ernsthaft, es gibt ein paar ziemlich gute Gründe:

• Automatisierung: Stell dir vor, du musst jeden Tag die gleichen Logdateien checken. Mit einem kleinen Skript (Batch-Datei, PowerShell, was auch immer dein Herz begehrt) kannst du das automatisieren. Denk an die Zeit, die du sparst!
• Remote-Zugriff: Du musst Events auf einem anderen Computer checken, ohne dich durch Remote Desktop zu quälen? Mit den richtigen Befehlen geht das!
• Flexibilität: Die grafische Oberfläche ist manchmal etwas… unflexibel. Mit der Kommandozeile kannst du viel genauer filtern und suchen. (Okay, zugegeben, die Syntax kann manchmal etwas… gewöhnungsbedürftig sein.)

Die Grundlagen: `wevtutil`

Der Star des Tages ist `wevtutil`. Das ist das Kommandozeilen-Tool, das Windows mitbringt, um mit Event Logs zu arbeiten. Um es zu benutzen, öffne die Eingabeaufforderung als Administrator. (Rechtsklick auf das Startmenü -> Eingabeaufforderung (Administrator)).

`wevtutil` ist mächtig, aber auch ein bisschen wie ein Schweizer Taschenmesser mit 1000 Funktionen. Man muss wissen, wo man hinfasst. Lass uns ein paar nützliche Befehle ansehen:

• `wevtutil el`: Listet alle verfügbaren Event Logs auf. So bekommst du eine Übersicht, welche Kanäle es überhaupt gibt. (Pro-Tipp: Schreib das Ergebnis in eine Datei um sie einfacher durchzusehen: `wevtutil el > channels.txt`)
• `wevtutil qe `: Zeigt die neuesten Events in einem bestimmten Kanal an. Ersetze `` durch den Namen des Kanals, den du untersuchen möchtest. Zum Beispiel: `wevtutil qe System`. Achtung, das kann eine riesige Menge an Daten sein!
• `wevtutil cl `: Löscht alle Events in einem bestimmten Kanal. Vorsicht! Das ist unwiderruflich! Benutze das nur, wenn du wirklich sicher bist, was du tust. (Bitte, bitte sei vorsichtig!)

Filter, Filter, Filter!

Einfach alle Events auszugeben ist meistens nicht sehr hilfreich. Du willst ja wahrscheinlich nach bestimmten Fehlern suchen. Hier kommen XPath-Abfragen ins Spiel. Klingt kompliziert, ist es aber (am Anfang) auch. Aber keine Sorge, wir nähern uns dem Thema langsam.

Mit XPath kannst du sehr spezifische Events filtern. Zum Beispiel, um alle Error-Events im System-Log zu finden, die eine bestimmte Event-ID haben.

Ein Beispiel (vereinfacht):

wevtutil qe System "/q:*[System[Level=2 and EventID=7036]]"

(Okay, das sieht jetzt echt kompliziert aus, aber lass dich nicht abschrecken. Die `Level=2` steht für Error. Die `EventID=7036` steht für eine bestimmte Event-ID. Du kannst diese Werte natürlich anpassen.)

Es gibt unzählige Möglichkeiten, XPath-Abfragen zu gestalten. Am besten, du recherchierst ein bisschen und experimentierst herum.

Zusammenfassung

Die Kommandozeile und der Event Viewer – auf den ersten Blick vielleicht keine Traumpaarung. Aber wenn du dich ein bisschen damit beschäftigst, wirst du feststellen, dass die Kommandozeile eine mächtige Waffe im Kampf gegen Windows-Probleme sein kann.

Also, keine Angst vor der Eingabeaufforderung! Probier es aus, spiel herum und entdecke die Möglichkeiten. Und wenn du mal wieder mitten in der Nacht vor einem blinkenden Laptop sitzt, erinner dich daran: Die Eingabeaufforderung könnte dein Retter in der Not sein. Viel Glück!