Speicherabbilder bei BSOD unter Windows 11 und 10 erstellen

Speicherabbilder bei BSOD in Windows 10 und 11 erstellen: So konfigurieren Sie den Kernel- oder Minidump – für gezielte Fehleranalyse nach einem Systemabsturz.

Ein Bluescreen (BSOD) ist für viele Nutzer ein Schreckensszenario – doch das Betriebssystem speichert beim Absturz wertvolle Diagnosedaten in einer sogenannten Speicherabbilddatei (Dump-Datei).

Wer weiß, wie man diese Datei unter Windows 10 und Windows 11 korrekt konfiguriert, erstellt und auswertet, kann die genaue Absturzursache identifizieren und gezielt beheben. Dieser Artikel zeigt Ihnen alle Schritte.

Was ist ein Speicherabbild und warum ist es bei einem BSOD wichtig?

Wenn Windows 10 oder Windows 11 mit einem Bluescreen of Death (BSOD) abstürzt, hält das Betriebssystem in Sekundenbruchteilen den gesamten Zustand des Arbeitsspeichers fest. Diesen Schnappschuss nennt man Speicherabbild, Memory Dump oder Dump-Datei – sie trägt die Dateiendung .dmp oder .MDMP. Darin enthalten sind der Fehlercode (Bugcheck-Code), betroffene Prozesse, der Status der CPU-Register sowie Informationen über alle zu diesem Zeitpunkt geladenen Treiber.

Ohne ein korrekt konfiguriertes Speicherabbild bleibt die Fehlersuche nach einem Bluescreen oft im Dunkeln. Deshalb ist es wichtig, Windows so einzustellen, dass beim nächsten BSOD automatisch eine verwertbare Dump-Datei angelegt wird. Außerdem lassen sich vorhandene Dump-Dateien mit speziellen Analyse-Tools auswerten, um den Übeltäter – ob fehlerhafter Treiber, defekter RAM oder beschädigte Systemdatei – zuverlässig zu identifizieren.

Die vier Typen von Speicherabbildern unter Windows 10 und 11

Windows 10 und Windows 11 bieten grundsätzlich vier verschiedene Arten von Speicherabbildern an. Jeder Typ liefert unterschiedlich viele Informationen und belegt entsprechend unterschiedlich viel Speicherplatz:

1. Kleines Speicherabbild (Minidump)
Ein Minidump ist die kompakteste Variante. Er enthält lediglich die grundlegenden Absturzinformationen – den Bugcheck-Code, eine Liste geladener Treiber sowie einige wenige Stack-Daten. Die Dateigröße beträgt in der Regel zwischen 64 KB und 1 MB. Windows legt Minidumps standardmäßig unter C:\Windows\Minidump ab und benennt sie nach dem Erstellungszeitpunkt, zum Beispiel Mini060426-01.dmp. Dieser Typ eignet sich für einen schnellen Überblick und für Einsteiger.

2. Kernelspeicherabbild
Das Kernelspeicherabbild erfasst nur den Arbeitsspeicherbereich, der dem Kernel und der Hardware-Abstraktionsebene (HAL) zugewiesen ist. Zusätzlich enthält es keinen Speicher, der Programmen im Benutzermodus zugewiesen wurde. Dadurch ist er deutlich kleiner als ein vollständiges Abbild, liefert jedoch genug Informationen für die meisten Treiberanalysen. Er wird standardmäßig als C:\Windows\MEMORY.DMP gespeichert.

3. Vollständiges Speicherabbild
Das vollständige Speicherabbild ist die umfangreichste Option. Es kopiert den gesamten physischen Arbeitsspeicher des Systems zum Zeitpunkt des Absturzes – inklusive Benutzer- und Kernelbereich. Dadurch ist die Datei so groß wie der installierte RAM: Bei 16 GB RAM entsteht demnach eine Dump-Datei von rund 16 GB. Microsoft empfiehlt dafür mindestens 25 GB freien Speicherplatz auf der Systempartition (üblicherweise Laufwerk C:). Das vollständige Abbild eignet sich für tiefgehende Analysen und wird ebenfalls als C:\Windows\MEMORY.DMP abgelegt.

4. Automatisches Speicherabbild
Der automatische Typ ist in Windows 10 und 11 standardmäßig voreingestellt. Windows entscheidet dabei selbst, wie viel Speicher aufgezeichnet wird – in der Regel ähnlich wie beim Kernelspeicherabbild, jedoch mit dynamischer Anpassung je nach verfügbarem Festplattenspeicher. Für die meisten Heimanwender ist dieser Typ ausreichend.

Speicherabbild konfigurieren unter Windows 10 und Windows 11 – Schritt für Schritt

Damit beim nächsten BSOD eine auswertbare Dump-Datei entsteht, müssen Sie Windows vorab entsprechend einrichten. Die Einstellung befindet sich in den erweiterten Systemeigenschaften und gilt identisch für Windows 10 und Windows 11.

Variante 1: Über die Systemeigenschaften (empfohlene Vorgehensweise)

1. Drücken Sie Windows-Taste + R, geben Sie sysdm.cpl ein und bestätigen Sie mit Enter.
2. Das Fenster „Systemeigenschaften“ öffnet sich. Wechseln Sie auf den Reiter Erweitert.
3. Klicken Sie im Abschnitt Starten und Wiederherstellen auf Einstellungen.
4. Im Bereich Systemfehler finden Sie das Dropdown-Menü Debuginformationen speichern. Wählen Sie dort den gewünschten Dump-Typ aus – für eine gründliche Analyse empfehlen wir Vollständiges Speicherabbild oder zumindest Kernelspeicherabbild.
5. Stellen Sie sicher, dass der Dateipfad auf %SystemRoot%\MEMORY.DMP gesetzt ist.
6. Deaktivieren Sie außerdem die Option Automatischen Neustart durchführen, damit Sie den BSOD-Fehlercode am Bildschirm ablesen können, bevor das System neu startet.
7. Klicken Sie dreimal auf OK und starten Sie den PC anschließend neu, damit die Änderungen wirksam werden.

Variante 2: Über die Windows-Suche (alternativ unter Windows 10/11)

1. Klicken Sie auf das Suchfeld in der Taskleiste und tippen Sie Erweiterte Systemeinstellungen ein.
2. Öffnen Sie den angezeigten Treffer und navigieren Sie wie oben beschrieben zu Erweitert → Starten und Wiederherstellen → Einstellungen.
3. Führen Sie die Schritte 4 bis 7 aus Variante 1 aus.

Hinweis zum Speicherplatz

Bevor Sie das vollständige Speicherabbild aktivieren, prüfen Sie den freien Speicherplatz auf Laufwerk C:. Öffnen Sie dazu den Datei-Explorer, klicken Sie mit der rechten Maustaste auf Laufwerk C: und wählen Sie Eigenschaften. Der freie Speicherplatz sollte mindestens der Größe Ihres installierten RAMs plus einige zusätzliche Gigabyte entsprechen. Anderenfalls wählen Sie besser das Kernelspeicherabbild, das deutlich weniger Platz benötigt.

Speicherabbild manuell per Tastatur auslösen (für Testzwecke)

Manchmal friert Windows ein, ohne einen Bluescreen zu erzeugen. In solchen Fällen können Sie unter Windows 10 und Windows 11 einen BSOD und damit ein Speicherabbild manuell per Tastatur erzwingen. Dazu ist jedoch eine einmalige Registrierungsänderung notwendig.

Vorgehen für USB-Tastaturen:

1. Öffnen Sie den Registrierungs-Editor mit der Tastenkombination Windows-Taste + R, Eingabe regedit, Bestätigung mit Enter.
2. Navigieren Sie zum Schlüssel: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\kbdhid\Parameters
3. Erstellen Sie dort einen neuen DWORD-Wert (32-Bit) mit dem Namen CrashOnCtrlScroll und setzen Sie den Wert auf 1.
4. Starten Sie den Computer neu.
5. Ab sofort können Sie durch zweimaliges Drücken von Scroll Lock bei gedrückter rechter Strg-Taste einen kontrollierten BSOD auslösen. Windows erstellt dann sofort ein Speicherabbild.

Vorgehen für PS/2-Tastaturen:

Der Registrierungspfad lautet hier: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\i8042prt\Parameters
Auch hier legen Sie den DWORD-Wert CrashOnCtrlScroll mit dem Wert 1 an und starten danach neu.

Wo liegt die Dump-Datei nach einem BSOD?

Nachdem Windows abgestürzt ist und neu gestartet hat, finden Sie die Speicherabbilddateien an folgenden Standardpfaden:

• Minidump-Dateien: C:\Windows\Minidump\ (mehrere zeitgestempelte .dmp-Dateien)
• Vollständiges Abbild / Kernelabbild: C:\Windows\MEMORY.DMP (wird bei jedem Absturz überschrieben, sofern nicht anders konfiguriert)

Falls der Ordner C:\Windows\Minidump nicht existiert, hat Windows entweder noch keinen Absturz aufgezeichnet oder die Speicherabbild-Funktion war bislang deaktiviert. Deshalb ist die vorherige Konfiguration so entscheidend. Außerdem sind diese Ordner standardmäßig als Systemordner versteckt – aktivieren Sie im Datei-Explorer unter Ansicht → Versteckte Elemente die Anzeige verborgener Dateien, damit Sie die Dateien sehen.

Speicherabbild auswerten – Die besten Tools im Überblick

Eine rohe .dmp-Datei ist für Menschen nicht direkt lesbar, da es sich um eine Binärdatei handelt. Deshalb benötigen Sie spezialisierte Analyse-Tools. Folgende Programme empfehlen wir konkret:

BlueScreenView (Nirsoft) – für Einsteiger

BlueScreenView von Nirsoft ist kostenlos, benötigt keine Installation und liest alle im Ordner C:\Windows\Minidump gespeicherten Dump-Dateien automatisch ein. Das Tool zeigt den Fehlercode, den Absturzzeitpunkt sowie den oder die betroffenen Treiber übersichtlich in einer Tabelle an. Der betroffene Treiber wird dabei in der Ergebnisliste farblich hervorgehoben.

So gehen Sie vor:

1. Laden Sie BlueScreenView von der Nirsoft-Website herunter (bluescreenview.exe).
2. Starten Sie das Programm – es erfordert keine Installation.
3. BlueScreenView liest automatisch alle vorhandenen Minidump-Dateien ein.
4. Klicken Sie auf einen Eintrag, um im unteren Bereich die betroffenen Treiber zu sehen.
5. Der in rosa markierte Treiber ist in der Regel für den Absturz verantwortlich.

WhoCrashed (Resplendence Software) – für Einsteiger und Fortgeschrittene

WhoCrashed analysiert ebenfalls Dump-Dateien und erstellt daraus einen leicht verständlichen Bericht in Textform. Das Tool erklärt den Absturz in einfachen Worten und nennt konkrete Handlungsempfehlungen. Auch WhoCrashed ist in einer kostenlosen Basisversion erhältlich.

So gehen Sie vor:

1. Laden Sie WhoCrashed von der Website resplendence.com herunter und installieren Sie es.
2. Starten Sie WhoCrashed und klicken Sie auf Analyze.
3. Das Tool durchsucht selbstständig alle vorhandenen Dump-Dateien.
4. Im Ergebnisbericht sehen Sie im Abschnitt Crash Dump Analysis den Fehlercode, den Zeitpunkt und den Schuldigen in Form eines Treibernamens oder Moduls.

WinDbg Preview (Microsoft) – für Fortgeschrittene und Profis

WinDbg Preview ist das offizielle Debugging-Tool von Microsoft und liefert die mit Abstand detailliertesten Analyseergebnisse. Es ist kostenlos im Microsoft Store erhältlich und eignet sich besonders für tiefgehende Untersuchungen, bei denen BlueScreenView oder WhoCrashed keine eindeutige Ursache benennen können.

So gehen Sie vor:

1. Installieren Sie WinDbg Preview über den Microsoft Store (Suchbegriff: „WinDbg“).
2. Starten Sie WinDbg Preview mit Administratorrechten.
3. Klicken Sie auf File → Open dump file (oder drücken Sie Strg + D).
4. Navigieren Sie zu C:\Windows\Minidump und öffnen Sie die gewünschte .dmp-Datei.
5. Sobald die Datei geladen ist, geben Sie in der Befehlszeile am unteren Rand den Befehl !analyze -v ein und drücken Sie Enter.
6. WinDbg führt nun eine vollständige Diagnose durch. Achten Sie in der Ausgabe besonders auf die Felder BUGCHECK_CODE, MODULE_NAME und IMAGE_NAME – sie zeigen die Fehlerursache.

Tipp: Für noch präzisere Ergebnisse empfehlen wir, vor der Analyse die Debugging Symbols von Microsoft herunterzuladen. Diese laden Sie über File → Symbol File Path und geben dort srv*C:\Symbols*https://msdl.microsoft.com/download/symbols ein.

Häufige BSOD-Ursachen, die Speicherabbilder aufdecken

Die Auswertung von Dump-Dateien führt in der Praxis häufig auf eine dieser Ursachen:

Fehlerhafte oder veraltete Treiber sind die häufigste Ursache für BSODs unter Windows 10 und Windows 11. Besonders Grafikkartentreiber, Netzwerktreiber und Treiber für externe Hardware fallen dabei auf. Das Speicherabbild nennt in diesen Fällen konkret den Dateinamen des verantwortlichen Treibers, zum Beispiel nvlddmkm.sys (NVIDIA) oder ntoskrnl.exe.

Defekter Arbeitsspeicher (RAM) erzeugt ebenfalls häufige BSODs. Wenn das Speicherabbild auf Fehler in ntoskrnl.exe oder hal.dll hinweist und kein spezifischer Treiber benannt wird, lohnt ein RAM-Test mit Windows Memory Diagnostic (über die Suche aufrufbar) oder dem kostenlosen Tool MemTest86.

Beschädigte Systemdateien können nach einem unvollständigen Windows-Update oder einem plötzlichen Stromausfall entstehen. Zudem zeigt das Speicherabbild in solchen Fällen häufig Systemdateien wie win32k.sys oder ntfs.sys als Verursacher. Abhilfe schafft der SFC-Scan über die Eingabeaufforderung mit dem Befehl sfc /scannow.

Überhitzung äußert sich in BSODs, die scheinbar zufällig auftreten – oft nach längerer Last. Außerdem finden Sie im Speicherabbild in diesen Fällen häufig keine eindeutige Softwareursache, was ein starkes Indiz für ein Hardwareproblem ist.

Treiberüberprüfung (Driver Verifier) nutzen – für schwer reproduzierbare Abstürze

Wenn BSODs unregelmäßig auftreten und sich kaum reproduzieren lassen, bietet Windows den integrierten Treiberüberprüfungs-Manager (Driver Verifier) an. Dieses Tool erzeugt gezielt Druck auf verdächtige Treiber und provoziert einen BSOD samt Speicherabbild, sobald ein Treiber sich fehlerhaft verhält.

So aktivieren Sie die Treiberüberprüfung:

1. Öffnen Sie die Eingabeaufforderung als Administrator (Rechtsklick auf das Startmenü → „Terminal (Administrator)“).
2. Geben Sie verifier ein und drücken Sie Enter. Der Treiberüberprüfungs-Manager öffnet sich.
3. Wählen Sie Standardeinstellungen erstellen und klicken Sie auf Weiter.
4. Wählen Sie Alle Treiber automatisch auswählen und klicken Sie auf Fertig stellen.
5. Starten Sie den Computer neu. Windows läuft nun im Überprüfungsmodus.
6. Sobald ein Absturz auftritt, erstellt Windows ein detailliertes Speicherabbild, das den verantwortlichen Treiber eindeutig benennt.

Wichtig: Deaktivieren Sie die Treiberüberprüfung nach der Diagnose wieder. Geben Sie dazu erneut verifier /reset in der Administrator-Eingabeaufforderung ein und starten Sie neu. Andernfalls bleibt das System dauerhaft im Überprüfungsmodus, was die Performance erheblich beeinträchtigt.

Speicherabbild-Einstellungen per Registrierungs-Editor anpassen

Falls das vollständige Speicherabbild in der Dropdown-Liste unter Starten und Wiederherstellen nicht angezeigt wird, können Sie den Dump-Typ direkt in der Registrierung setzen. Dies ist außerdem nützlich, wenn Sie die Einstellungen per Skript auf mehreren PCs ausrollen möchten.

Der relevante Registrierungsschlüssel lautet:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\CrashControl

Folgende DWORD-Werte sind dort relevant:

• CrashDumpEnabled: Legt den Dump-Typ fest. Wert 1 = Vollständig, 2 = Kernel, 3 = Kleines Abbild (Minidump), 7 = Automatisch.
• DumpFile: Gibt den Speicherpfad der Dump-Datei an (Standard: %SystemRoot%\MEMORY.DMP).
• MinidumpDir: Pfad für Minidump-Dateien (Standard: %SystemRoot%\Minidump).
• AutoReboot: Wert 0 verhindert den automatischen Neustart nach einem BSOD – empfohlen für die Fehlerdiagnose.
• Overwrite: Wert 1 überschreibt eine vorhandene MEMORY.DMP bei jedem neuen Absturz.