Schritt-für-Schritt-Anleitung zur Aktivierung und Konfiguration der Windows-Fehlerberichterstattung (WER).

Wer täglich Windows-Systeme verwaltet, kommt früher oder später mit der Windows-Fehlerberichterstattung (WER) in Berührung . Manchmal ist sie ein unverzichtbares Werkzeug zur Diagnose von Abstürzen und ungewöhnlichen Fehlern, manchmal aber auch ein Speicherplatzfresser oder eine ständige Fehlerquelle, wenn der Server keinen Internetzugang hat.

Dieser Leitfaden zeigt Ihnen, wie Sie die Worterkennung (WER) in verschiedenen Windows-Versionen aktivieren, deaktivieren und feinabstimmen , wie Sie Speicherabbilder (HDMP/MDMP) steuern, welche Netzwerkadressen verwendet werden, wie Sie die WER über die Registrierung überprüfen und wie Sie sie sogar mit PowerShell und Batch-Skripten verwalten. Alles wird auf Spanisch (Spanien) erklärt, mit praktischen Beispielen und ohne Auslassungen.

Was ist die Windows-Fehlerberichterstattung (WER) und wozu dient sie?

WER ist eine in Windows integrierte Plattform zur Fehlererfassung und -meldung , die ausgelöst wird, wenn eine Anwendung abstürzt, der Browser nicht mehr reagiert, ein Dienst ausfällt oder schwerwiegende Systemfehler (z. B. Kernel-Abstürze) auftreten. Manchmal hängen diese Fehler mit ungetesteten Anwendungen zusammen , die spezifische Diagnoseschritte erfordern.

In diesem Fall kann das System Berichte und Speicherabbilder erstellen , die Informationen über den Prozess, geladene Module, Speichernutzung und weitere technische Daten enthalten. Diese Informationen können an Microsoft gesendet werden, um bekannte Lösungen zu finden oder damit das Produktteam das betroffene System und die Anwendungen verbessern kann.

Zusätzlich zu Online-Berichten kann WER so konfiguriert werden, dass Benutzermodus-Speicherabbilder lokal gespeichert werden . Dies ist besonders nützlich, wenn kritische Anwendungsabstürze, Server ohne Internetzugang oder Umgebungen analysiert werden müssen, in denen Datenschutz von zentraler Bedeutung ist.

In vielen Organisationen basiert die Entscheidung, WER zu aktivieren, einzuschränken oder vollständig zu deaktivieren, auf Sicherheitsrichtlinien, Internetzugang oder der Anzahl der auf den Servern generierten Fehler.

Aktivieren der Windows-Fehlerberichterstattung (WER) mithilfe von Gruppenrichtlinien

In Domänenumgebungen lässt sich die Weber-Erkennung (WER) am einfachsten über Gruppenrichtlinienobjekte (GPO) steuern , um einheitliche Einstellungen auf allen Computern zu gewährleisten. Im Gruppenrichtlinienverwaltungs-Editor ( gpmc.msc ) können Sie die WER aktivieren oder deaktivieren und die gesendeten Daten anpassen.

Stellen Sie zunächst sicher, dass keine Richtlinien dies blockieren. Navigieren Sie dazu in den Computereinstellungen zum entsprechenden Pfad und überprüfen Sie die Richtlinien zur Deaktivierung der Fehlerberichterstattung.

Navigieren Sie in der Richtlinienstruktur zu Computerkonfiguration > Administrative Vorlagen > System > Internetkommunikationsverwaltung > Internetkommunikationseinstellungen . In diesem Abschnitt finden Sie die Richtlinie zum Deaktivieren der Windows-Fehlerberichterstattung.

Öffnen Sie die Richtlinie „Windows-Fehlerberichterstattung deaktivieren“ und wählen Sie die Option „Deaktiviert“. Dadurch wird verhindert, dass die Windows-Fehlerberichterstattung auf Kommunikationsebene blockiert wird . Klicken Sie auf „Anwenden“ und „OK“, um die Änderungen zu übernehmen.

Navigieren Sie anschließend im selben Richtlinieneditor zu Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Windows-Fehlerberichterstattung . Dort finden Sie die Richtlinie „Windows-Fehlerberichterstattung deaktivieren“ , die direkt steuert, ob der Dienst ausgeführt wird.

Öffnen Sie die entsprechende Richtlinie und wählen Sie erneut die Option „Deaktiviert“, um WER auf dem System zu aktivieren . Bestätigen Sie anschließend mit „Anwenden“ und „OK“, um die Konfiguration auf die Computer in der Organisationseinheit (OU) zu übertragen, mit der die Gruppenrichtlinie verknüpft ist.

Konfigurieren des Diagnosedatenniveaus in Windows

Das Verhalten von WER ist eng mit der Konfiguration der Windows- Diagnose- und Telemetriedaten verknüpft. Je nach Konfigurationsstufe kann es von minimalen Daten bis hin zu detaillierteren Informationen, einschließlich Speicherabbildern und Protokollen, alles senden.

Um dieses Verhalten anzupassen, werden die Datenerfassungszweige und Vorabversionen in Gruppenrichtlinien erneut verwendet , wobei es geringfügige Unterschiede zwischen Windows 11 und Windows 10 gibt.

Konfigurieren von Diagnosedaten in Windows 11

Öffnen Sie auf Computern mit Windows 11 den Gruppenrichtlinien-Editor und navigieren Sie zu Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Datensammlung und Vorschau . Hier finden Sie verschiedene Optionen, um festzulegen, welche Art von Informationen erfasst und gesendet wird.

Suchen Sie die Richtlinie „Diagnosedaten zulassen “ und öffnen Sie sie. Wählen Sie die Option „Aktiviert“ und anschließend im Dropdown-Menü „Optionen“ die Option „ Optionale Diagnosedaten senden“ . Diese Einstellung ermöglicht es WER und anderen Komponenten, detailliertere technische Informationen zu erfassen, was insbesondere in Umgebungen mit erweiterter Fehlerbehebung und Support sehr hilfreich ist.

Bestätigen Sie mit „Anwenden“ und „OK“ und suchen Sie anschließend die Richtlinie „Benutzeroberflächeneinstellungen für Diagnosedaten konfigurieren“ . Diese Richtlinie legt fest, was dem Endbenutzer in der Datenschutzoberfläche angezeigt wird.

Aktivieren Sie diese Richtlinie, indem Sie sie auf „Aktiviert“ setzen und anschließend im Dropdown-Menü „ Einstellungen für die gemeinsame Nutzung von Diagnosedaten deaktivieren “ auswählen . Dadurch wird verhindert, dass Benutzer die von Ihnen auf Unternehmensebene definierte Diagnosestufe eigenständig ändern. Wenden Sie die Änderungen erneut an und bestätigen Sie sie, um die Richtlinie abzuschließen.

Konfigurieren von Diagnosedaten in Windows 10

Unter Windows 10 ist der Konfigurationspfad ähnlich. Sie müssen zu Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Datensammlung und Vorschau navigieren . In diesem Abschnitt finden Sie die wichtige Richtlinie „ Telemetrie zulassen“.

Öffnen Sie die Richtlinie „Telemetrie zulassen“ und stellen Sie deren Status auf „ Aktiviert “. Im Dialogfeld „Optionen“ wird eine Liste mit Stufen angezeigt, die je nach installierter Windows 10-Version leicht variieren kann.

Bei Systemen mit Windows 10 Version 1903 oder höher ist die feinste Einstellungsstufe „Optional“. Bei Windows 10 Version 1809 und älter ist die höchste Einstellungsstufe hingegen „Vollständig“. Wählen Sie die passende Option entsprechend Ihrer Systemkonfiguration.

Speichern Sie die Änderungen mit „Anwenden“ und „OK“. Von hier aus können Sie, insbesondere bei Versionen ab 1803, die Darstellung der Telemetrie-Oberfläche für den Benutzer weiter verfeinern .

Suchen Sie als Nächstes die Richtlinie „ Benutzeroberflächeneinstellungen für die Telemetrie konfigurieren “. Aktivieren Sie diese und wählen Sie im Dropdown-Menü „Optionen “ die Option „Einstellungen für die Telemetrieteilnahme deaktivieren“ . Dadurch wird verhindert, dass Benutzer die Telemetrieeinstellungen über die grafische Windows-Oberfläche ändern. Klicken Sie anschließend erneut auf „Anwenden“ und dann auf „OK“, um das Richtlinienfenster zu schließen.

Von WER und Diagnosedaten verwendete Netzwerkverbindungspunkte

Wenn WER und die Diagnosekomponenten aktiv sind, kann Windows eine Verbindung zu einer Reihe von Microsoft-Endpunkten herstellen, um Berichte und Speicherabbilder zu senden. Die Kenntnis dieser Adressen ist in eingeschränkten Netzwerken, hinter Perimeter-Firewalls oder auf Servern ohne Internetzugang von entscheidender Bedeutung.

Der WER-Datenverkehr nutzt typischerweise TCP-Port 443 mit HTTPS-Verschlüsselung durch SSL/TLS und Zertifikatsanker, um eine Verbindung zu Microsoft-Servern sicherzustellen. Wird dieser Datenverkehr blockiert, werden im Viewer wiederholte Verbindungsversuche und zugehörige Ereignisse angezeigt.

Die häufigsten Verbindungspunkte, auf die WER zugreifen kann:

• watson.microsoft.com für praktisch alle Windows-Versionen.
• watson.telemetry.microsoft.com Ab Windows 10 Version 1803.
• Verschiedene Azure Blob Storage-Hosts wie z. B. umwatsonc.events.data.microsoft.com oder Adressen der Art ceuswatcab01.blob.core.windows.net, eaus2watcab01.blob.core.windows.net o weus2watcab02.blob.core.windows.netwird in moderneren Versionen wie Windows 10 1809 und späteren Versionen verwendet.

Wenn Sie für die korrekte Funktion von WER nur bestimmte Domänen in der Firewall zulassen müssen , müssen Sie diese Liste von Hostnamen hinzufügen. In isolierten Szenarien (z. B. Server ohne Internetzugang) ist es üblich, das Senden zu deaktivieren oder stark einzuschränken, um zu verhindern, dass das System wiederholt Verbindungen zu diesen Endpunkten herstellt.

Beschränken Sie die Art der zusätzlichen Daten, die an Microsoft gesendet werden.

Auch wenn WER aktiviert ist und Diagnosedaten im optionalen Modus zugelassen werden, möchten Sie möglicherweise aus Gründen der Vertraulichkeit oder der Einhaltung gesetzlicher Bestimmungen kontrollieren, welche Art von Speicherabbildern mit Microsoft geteilt werden .

Die in den vorherigen Abschnitten beschriebenen Richtlinien können bewirken, dass WER nur Kernel-Minidumps und Lightweight-User-Mode-Dumps sendet . Wenn Sie jedoch die optionale Datenebene gewählt haben, können Sie diese Beschränkungen mithilfe zusätzlicher Direktiven weiter einschränken.

In Windows 11 und Windows 10 Version 1909 und höher finden Sie unter Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Datensammlung und Vorschau spezifische Richtlinien zum Einschränken der Speicherabbildtypen.

Öffnen Sie die Richtlinie „Speicherabbilderfassung einschränken “ und aktivieren Sie sie. Dadurch wird sichergestellt, dass nur die in der Richtlinie zulässigen Speicherabbilder erfasst werden und somit die Erfassung übermäßig großer oder sensibler Daten verhindert wird. Übernehmen und bestätigen Sie die Einstellungen.

Suchen Sie als Nächstes die Richtlinie „ Diagnoseprotokollerfassung einschränken “ . Aktivieren Sie diese, um Umfang und Art der in den zugehörigen Telemetriedaten enthaltenen Protokolle zu beschränken. Klicken Sie nach Auswahl von „Aktiviert“ auf „Anwenden“ und „OK“, um die Änderungen zu speichern.

Überprüfen Sie die korrekte Konfiguration mithilfe der Registrierung.

Nachdem Sie die Gruppenrichtlinienobjekte (GPOs) zur Steuerung von WER und Diagnosedaten bereitgestellt haben, empfiehlt es sich, auf einem Testrechner zu überprüfen, ob die Registrierungsschlüssel wie erwartet angewendet wurden. Dies können Sie mit regedit.exe auf einem von der Richtlinie betroffenen Computer durchführen.

Zuerst Überprüfen Sie den Schlüssel HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DataCollectionDies sollte die von Ihnen definierten Werte für Telemetrie- und Erfassungsbeschränkungen widerspiegeln.

Einige typische Werte , die üblicherweise in diesem Schlüssel vorkommen, sind:

Name des Registrierungsschlüssels	Erwartete Daten
AllowTelemetry	0x00000003 für optionales/vollständiges Niveau
DisableTelemetryOptInSettingsUx	0x00000001 um Benutzeränderungen zu blockieren
LimitDiagnosticLogCollection	0x00000001 wenn Sie nur über begrenzte Diagnoseprotokolle verfügen
LimitDumpCollection	0x00000001 wenn Sie Speicherabbilder einschränken

Überprüfen Sie dann den Schlüssel. HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\PCHealth\ErrorReportingHier steckt normalerweise ein Wert. DoReport konfiguriert auf 0x00000001Dies bedeutet, dass Fehlermeldungen gemäß den Unternehmensrichtlinien zulässig sind.

Ein weiterer wichtiger Punkt ist HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Windows Error ReportingAn diesem Standort werden Sie sich besonders für die Werte interessieren. Deaktiviert y Senden Sie keine zusätzlichen Daten, die festlegen, ob WER deaktiviert ist oder ob zusätzliche Daten gesendet werden können.

Name des Registrierungsschlüssels	Erwartete Daten
Disabled	0x00000000 um WER aktiviert zu halten
DontSendAdditionalData	0x00000001 um das Senden zusätzlicher Daten zu blockieren

Schließlich auf der Route HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Windows Error Reporting\Consent Es gibt einen wichtigen Wert namens StandardzustimmungMit einem Datensatz als 0x00000004Das System passt das Standardverhalten bezüglich der Einwilligung zum Versenden von Berichten an.

WER mithilfe von PowerShell-Befehlen aktivieren und deaktivieren

Zusätzlich zu Gruppenrichtlinienobjekten (GPOs) und der Registrierung enthält Windows spezielle Cmdlets für die WER-Bearbeitung aus PowerShell, was sehr praktisch ist, wenn Sie auf isolierten Servern arbeiten oder Aufgaben in Skripten automatisieren möchten.

Das wichtigste Cmdlet zur Aktivierung dieser Funktionalität ist Enable-WindowsErrorReporting . Ohne zusätzliche Parameter ist seine Syntax sehr einfach:

Enable-WindowsErrorReporting

Durch Ausführen dieses Befehls in einer PowerShell-Konsole mit Administratorrechten wird die Windows-Fehlerberichterstattung auf dem betreffenden Computer aktiviert . Intern werden die erforderlichen Einstellungen so angepasst, dass Fehlerberichte neu generiert und gemäß der definierten Telemetriekonfiguration gesendet werden.

Dieses Cmdlet gibt ein Ergebnis vom Typ zurück BooleanWenn die Operation erfolgreich abgeschlossen wurde, lautet der Rückgabewert: $TrueAndernfalls erhalten Sie $FalseDies ermöglicht es Ihnen, eine einfache Überprüfung in Ihre Bereitstellungs- oder Wartungsskripte zu integrieren.

Beispiel für die direkte Anwendung :

PS C:\> Enable-WindowsErrorReporting

Um den aktuellen Status der Windows Error Reporting (WER) zu überprüfen, können Sie das Cmdlet „Get-WindowsErrorReporting“ verwenden. Dieses zeigt Ihnen an, ob die Funktion aktiviert ist oder nicht. Wenn Sie sie später deaktivieren möchten, können Sie das Cmdlet „Disable-WindowsErrorReporting“ verwenden . Dadurch wird die Funktion deaktiviert und es werden keine weiteren Fehlerberichte von diesem Computer an Microsoft gesendet.

WER mithilfe von Remote-PowerShell- und Batch-Skripten aktivieren oder deaktivieren.

Bei Fernverwaltungslösungen wie bestimmten MDM- oder EMM-Plattformen ist es üblich, benutzerdefinierte Skripte zuzulassen, mit denen sich WER massenhaft aktivieren oder deaktivieren lässt . Dies beinhaltet typischerweise das Ändern von Registrierungsschlüsseln oder das Aufrufen der in den vorherigen Abschnitten beschriebenen Cmdlets.

Ein PowerShell -Skript kann beispielsweise den aktuellen Status des Fehlerberichterstattungsdienstes auslesen und nach der Ausführung im Aktionsverlauf vermerken, ob dieser „Aktiviert“ oder „Deaktiviert“ lautet. Bei erfolgreicher Skriptausführung zeigt die Verwaltungskonsole üblicherweise „True“ als Ergebnis an , um den Erfolg des Vorgangs zu bestätigen.

Bei Batch-Skripten ist die Logik in der Regel ähnlich, allerdings wird der Schlüssel direkt bearbeitet. HKLM\SOFTWARE\Microsoft\Windows\Windows Error ReportingEin typischer Befehl zum Aktivieren von WER besteht darin, den Wert zu erstellen oder zu ändern. Deaktiviert Datenzuordnung 0Dadurch wird es dem System ermöglicht, Berichte zu sammeln und zu versenden.

Um WER mithilfe einer .bat-Datei zu deaktivieren, wird der Wert „Disabled“ auf 1 gesetzt . Dadurch wird die Erfassung und Übertragung von Fehlern an Microsoft-Server blockiert. Im Erfolgsfall wird üblicherweise die Meldung „Der Vorgang wurde erfolgreich abgeschlossen“ im Verlauf des Remote-Tools protokolliert.

Event Viewer-Population und Server ohne Internetzugang

In manchen Umgebungen, insbesondere auf isolierten Servern oder solchen ohne externe Anbindung , kann WER dazu führen, dass die Ereignisanzeige mit sich wiederholenden Meldungen über fehlgeschlagene Verbindungsversuche oder Berichtseinreichungen überflutet wird.

Dieses Verhalten ist darauf zurückzuführen, dass der Dienst versucht, die oben beschriebenen Microsoft-Endpunkte zu kontaktieren. Da die ausgehende Verbindung jedoch blockiert ist, unternimmt er regelmäßig Wiederholungsversuche , wodurch weitere Ereignisse und gelegentlich auch einige Meldungen im Ereignisprotokoll entstehen.

In solchen Fällen können Sie WER auf Richtlinienebene deaktivieren, Registrierungsschlüssel verwenden, um es als deaktiviert zu kennzeichnen, oder das Senden zusätzlicher Daten durch die Kombination von Werten wie „ Disabled“ und „DontSendAdditionalData“ einschränken . Alternativ können Sie den Bericht aktiv lassen, jedoch nur für lokale Speicherabbilder und ohne ausgehende Telemetrie.

HDMP- und MDMP-Dateiverwaltung und Speicherplatznutzung

Was oft übersehen wird, ist der Speicherplatz, den die von WER erzeugten HDMP- und MDMP-Dateien belegen können, wenn innerhalb kurzer Zeit viele Fehler auftreten, beispielsweise auf einem Anwendungsserver wie SharePoint.

HDMP- Dateien enthalten typischerweise einen vollständigen Speicherabbild mit vielen Prozessinformationen, während MDMP- Dateien (Minidumps) komprimierte Speicherabbilder mit einer Teilmenge der Daten sind. Beide werden je nach Windows-Version an unterschiedlichen Orten gespeichert und können, wenn sie nicht ordnungsgemäß verwaltet werden, beinahe zum Systemausfall führen.

Auf älteren Systemen wie Windows Server 2003 oder Windows XP werden Speicherabbilder häufig im Ordner C:\WINDOWS\pchealth\ERRORREP\UserDumps gespeichert . Auf neueren Versionen wie Windows 7 oder Windows Server 2008 werden Berichte typischerweise in Verzeichnissen wie den folgenden gespeichert:

• C:\ProgramData\Microsoft\Windows\WER\ReportArchive
• C:\ProgramData\Microsoft\Windows\WER\ReportQueue
• C:\Users\Benutzername\AppData\Local\Microsoft\Windows\WER\ReportArchive
• C:\Users\Benutzername\AppData\Local\Microsoft\Windows\WER\ReportQueue

In diesen Verzeichnissen finden Sie Dateien mit Namen wie w3wp.exe{Datum}.mdmp oder w3wp.exe{Datum}.hdmp , die mit dem fehlgeschlagenen Prozess verknüpft sind (z. B. dem IIS-Workerprozess auf SharePoint-Servern). Falls die Speicherabbilder durch Bibliotheksfehler verursacht werden, können Sie Anleitungen zur Behebung entsprechender DirectX- und DLL-Fehler konsultieren.

Wenn Sie feststellen, dass diese Dumps unkontrolliert anwachsen, können Sie WER vorübergehend deaktivieren , die Ordner bereinigen oder die Dump-Sammlungslimits (DumpCount, DumpType usw.) richtig konfigurieren, damit sich das System selbst reguliert und die Festplatte nicht ohne freien Speicherplatz zurücklässt.

WER in älteren Windows-Versionen (XP/2003) deaktivieren

In Systemen wie Windows 2003 oder Windows XP wurde die Fehlerberichterstattung teilweise über die Systemeigenschaften verwaltet. Es war möglich, die Berichterstattung global zu deaktivieren oder sie nur für bestimmte Anwendungen zu aktivieren.

Die übliche Vorgehensweise war, mit der rechten Maustaste auf „Arbeitsplatz“ zu klicken, „Eigenschaften“ auszuwählen, den Reiter „Erweitert“ zu öffnen und die Option „Fehlerberichterstattung“ anzuklicken. Dort konnte man die Berichterstattung entweder vollständig deaktivieren oder festlegen, welche Programme Fehler melden sollten und welche nicht.

Obwohl diese Versionen nicht mehr unterstützt werden, sind noch viele ältere Umgebungen vorhanden. Daher ist es für Aufräum- und Wartungsaufgaben immer noch nützlich zu wissen, dass WER über diese Schnittstelle und über Ordnerpfade wie UserDumps verwaltet werden kann.

Konfigurieren von WER über die Registrierung in Windows 7, Windows 8 und Windows Server 2008

In moderneren Versionen wie z. B. Windows 7 und Windows Server 2008Zusätzlich zu den grafischen Optionen können Sie die WER über die RegistierungseditorDer Basisschlüssel ist HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Windows Error Reporting.

Um die Fehlerberichterstattung vollständig zu deaktivieren, erstellen oder ändern Sie üblicherweise den DWORD-Wert „ Disabled “ und setzen ihn auf 1. Dadurch wird verhindert, dass der Dienst Berichte generiert und sendet . Um die Fehlerberichterstattung wieder zu aktivieren, setzen Sie den Wert einfach auf 0 oder löschen Sie den Eintrag.

Bezüglich der grafischen Benutzeroberfläche ermöglichte das System auch bestimmte Anpassungen unter „Systemeigenschaften“ > „Erweitert“ > „Leistung“ > „Einstellungen“, beispielsweise die Überprüfung von Optionen im Zusammenhang mit der Datenausführungsverhinderung (DEP) . Obwohl DEP nicht exakt mit der Windows-Fehlerreaktion (WER) identisch ist, bezieht es sich darauf, wie Windows vor bestimmten Fehlern schützt und darauf reagiert.

Aktivieren Sie die detaillierte Protokollierung von Anwendungsabstürzen (Beispiel mit explorer.exe).

Um die Ursache eines Anwendungsabsturzes zu diagnostizieren, kann es hilfreich sein, detaillierte lokale Speicherabbilder zu erstellen . Ein typisches Beispiel ist der Prozess explorer.exe , der beim Einfrieren einen eingefrorenen Desktop hinterlässt. Um die Auswirkungen zu minimieren, kann man alternativ den Datei-Explorer während der Erstellung des Speicherabbilds neu starten.

Dies kann durch Erstellen einer .reg-Datei erreicht werden, die mehrere Schlüssel zur Registrierung hinzufügt. Zum Beispiel unter HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Windows Error Reporting\LocalDumps\Explorer.exe Es können Parameter wie folgt definiert werden: DumpOrdner (zum Beispiel „C:\WER Dumps“) und DumpTyp mit einem Wert 2 um einen vollständigen Dump anzuzeigen.

Zusätzlich in HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\explorer.exe Werte können wie folgt konfiguriert werden: Globalflagge y PageHeapFlags um erweiterte Debugging-Techniken zu aktivieren, die WER dazu zwingen, im Falle eines Absturzes umfassende Informationen zu generieren.

Nach dem Import dieser .reg-Datei und sobald der Vorfall aufgetreten ist, erstellt der Fehlerberichtsdienst Speicherabbilder im konfigurierten Ordner , beispielsweise C:\WER Dumps , die später mit Speicherabbildanalysetools wie WinDbg oder einfacheren Dienstprogrammen überprüft werden können.

Konfigurieren Sie vollständige Benutzermodus-Dumps mit WER (LocalDumps)

Ab Windows Server 2008 und Windows Vista SP1 konnte Windows Server (WER) beim Absturz einer Anwendung vollständige lokale Benutzermodus-Speicherabbilder speichern . Diese Funktion ist nicht standardmäßig aktiviert und erfordert Administratorrechte zur Konfiguration.

Die Konfiguration erfolgt im Schlüssel. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Windows Error Reporting\LocalDumpsHier können Sie verschiedene Werte definieren, die steuern, wo die Dumps gespeichert werden, wie viele gespeichert werden und welchen Typ sie haben.

Die wichtigsten Registerwerte sind:

Wert	Beschreibung	Typ	Tapferkeit vorherbestimmt
DumpOrdner	Pfad, in dem die Speicherabbilder gespeichert werden. Wenn dieser geändert wird, stellen Sie sicher, dass der Ordner Folgendes enthält: entsprechende Berechtigungen damit der blockierte Prozess dort schreiben kann.	REG_EXPAND_SZ	%LOCALAPPDATA%\CrashDumps
Anzahl der Dumps	Maximale Anzahl der im Ordner gespeicherten Dump-Dateien. Wenn dieses Limit überschritten wird, Der älteste Dump wird überschrieben für ein neues.	REG_DWORD	10
DumpTyp	Gibt den Dump-Typ an: 0 (benutzerdefiniert), 1 (Minidump) oder 2 (vollständig). Der Wert bestimmt wie viele Informationen enthalten sind in der Datei.	REG_DWORD	1
CustomDumpFlags	Es wird nur verwendet, wenn DumpType 0 ist. Es handelt sich um eine bitweise Kombination von Werten von MINIDUMP_TYPE um festzulegen, welche spezifischen Daten im benutzerdefinierten Datenauszug erfasst werden.	REG_DWORD	Normalerweise 0x00000121 (das mehrere Flags wie MiniDumpWithDataSegs, MiniDumpWithUnloadedModules und MiniDumpWithProcessThreadData kombiniert).

Diese Parameter werden als globale KonfigurationWenn Sie das Verhalten für eine bestimmte Anwendung genauer anpassen möchten, können Sie einen Unterschlüssel mit dem genauen Namen der ausführbaren Datei erstellen. LocalDumpszum beispiel LocalDumps\MiAplicacion.exeund definieren Sie Ihre eigenen Werte für DumpFolder, DumpCount usw.

Stürzt eine Anwendung ab, prüft das System zunächst die globale Konfiguration und wendet anschließend gegebenenfalls anwendungsspezifische Einstellungen an . Sobald der Absturzbericht erstellt ist, kann die Anwendung entweder normal beendet werden oder, falls sie dazu bereit ist, versuchen, sich wiederherzustellen.

Ein interessantes Detail ist, dass diese lokalen Speicherabbilder unabhängig von der übrigen WER-Infrastruktur verwaltet werden . Die lokale Datenerfassung kann aktiv bleiben, selbst wenn WER auf Ebene des Berichtsversands deaktiviert ist oder der Benutzer den Bericht abgebrochen hat.

Tools und Verbesserungen für die Arbeit mit Speicherabbildern in Windows 11

In neueren Versionen wie Windows 11 wurden Verbesserungen vorgenommen, die das Erstellen und Analysieren von Speicherabbildern erleichtern, sowohl über die grafische Benutzeroberfläche als auch mithilfe spezialisierter Tools.

Der Task-Manager bietet die Möglichkeit, einen aktiven Speicherauszug von beliebigen Benutzermodusprozessen oder sogar Kernelprozessen zu erstellen. Gehen Sie dazu einfach auf die Registerkarte „Prozesse“ oder „Details“, klicken Sie mit der rechten Maustaste auf den Prozess und wählen Sie „Aktive Speicherauszugsdatei erstellen“.

Das Sysinternals-Dienstprogramm ProcDump wurde ebenfalls verbessert und unterstützt nun mehr Auslöser, wie beispielsweise das Erstellen und Beenden von Threads, bestimmte Leistungsindikatoren und die Erkennung eingefrorener Fenster. Unter Windows 11 ist ProcDump mit allen Auslösertypen kompatibel, die ab Windows 8.1 eingeführt wurden.

Im Bereich Debugging ermöglichen Tools wie WinDbg und CDB die Analyse von Minidumps und vollständigen Speicherabbildern. Sie wurden aktualisiert, um Benutzermodus-Speicherabbilder besser zu verarbeiten und können sogar Speicherabbilder direkt aus CAB-Dateien lesen oder mehrere Speicherabbilddateien gleichzeitig analysieren – besonders nützlich bei wiederkehrenden Problemen. Ergänzend zur Fehleranalyse kann Dependency Walker zur Diagnose von Fehlern eingesetzt werden .

Verwendung von TSS zur Erfassung von Leistungs- und Netzwerkdaten

In fortgeschrittenen Support-Szenarien empfiehlt Microsoft manchmal die Verwendung von Skripten wie TSS.ps1 , um detaillierte Informationen über das System zu sammeln, einschließlich Leistungsdaten, Konfiguration und Netzwerk-Traces im Zusammenhang mit WER und anderen Komponenten.

Der typische Arbeitsablauf umfasst das Herunterladen von TSS auf alle betroffenen Knoten und das Extrahieren in einen Standardordner wie C:\tss . Anschließend wird ein PowerShell-Fenster mit Administratorrechten im selben Verzeichnis geöffnet.

Von dort aus können verschiedene Datenerfassungsszenarien mithilfe von Befehlen wie den folgenden gestartet werden:

TSS.ps1 -SDP PERF,SETUP
TSS.ps1 -Scenario NET_WFP

Beim Ausführen des Skripts werden Sie aufgefordert, die Lizenzbedingungen (EULA) zu akzeptieren. Sobald Sie Ihre Zustimmung erteilt haben, beginnt das Skript automatisch mit der Erfassung der erforderlichen Daten . Dies kann je nach Datenmenge und Systemauslastung einige Zeit dauern.

Nach Abschluss des Vorgangs werden die Ergebnisse üblicherweise in einer ZIP-Datei in einem Ordner wie C:\MS_DATA\SDP_PERFSETUP\ komprimiert , die Sie zur Analyse durch Techniker in einen Microsoft-Support-Arbeitsbereich hochladen können.

Die Beherrschung der Windows-Fehlerberichterstattung erfordert ein Verständnis des Zusammenspiels von Gruppenrichtlinien, Telemetrie, Registrierung, lokalen Speicherabbildern und Analysetools . Durch die korrekte Konfiguration dieser Elemente stellen Sie sicher, dass Ihre Systeme nur die notwendigen Informationen melden, verhindern Speicherplatzengpässe aufgrund von HDMP/MDMP-Problemen, vermeiden ständige Verbindungsversuche in eingeschränkten Netzwerken und erhalten gleichzeitig die wesentlichen Informationen zur Diagnose und Behebung von Abstürzen und kritischen Fehlern.