Windows 11/10: Chkdsk-Protokoll in der Ereignisanzeige lesen

Chkdsk-Protokoll in der Ereignisanzeige unter Windows 11 und Windows 10 anzeigen: So finden Sie den vollständigen Prüfbericht schnell und einfach.

Nach einem Chkdsk-Scan speichert Windows das Ergebnis automatisch in der Ereignisanzeige.

Dieser Artikel zeigt Schritt für Schritt, wie Sie das Chkdsk-Protokoll unter Windows 11 und Windows 10 öffnen, welche Event-IDs relevant sind und wie Sie die Meldungen richtig deuten – ganz ohne erneuten Neustart oder zusätzliches Tool.

Was das Chkdsk-Protokoll ist und wozu es dient

Chkdsk (Check Disk) prüft die Dateisystemstruktur eines Datenträgers auf logische und physische Fehler. Deshalb legt Windows nach jedem Durchlauf einen detaillierten Bericht an, der in der Ereignisanzeige einsehbar bleibt.

Dieser Bericht zeigt unter anderem:

• die Anzahl der geprüften Dateidatensätze
• gefundene und reparierte Fehler
• den freien und belegten Speicherplatz
• die Gesamtdauer des Scans

Zudem lässt sich anhand des Protokolls nachvollziehen, ob ein automatischer Scan nach einem unsauberen Herunterfahren ausgelöst wurde. Das ist besonders hilfreich, wenn der Rechner plötzlich neu startet und Chkdsk unaufgefordert erscheint.

Wo Windows die Chkdsk-Ergebnisse speichert

Windows 11 und Windows 10 schreiben die Ergebnisse in das Anwendungsprotokoll (Application Log) der Ereignisanzeige. Zusätzlich legt das System temporäre Rohdaten im geschützten Ordner „System Volume Information“ auf dem Systemlaufwerk ab. Dieser Ordner ist jedoch standardmäßig nicht zugänglich, weshalb die Ereignisanzeige der praktikable Weg bleibt.

Zwei Ereignisquellen sind dabei relevant:

• Wininit mit der Event-ID 1001, meist bei einem Scan während des Bootvorgangs
• Chkdsk mit der Event-ID 26226 (unter Windows 7 teils 1001), typischerweise bei einem Scan im laufenden Betrieb

Da beide Quellen je nach Startart des Scans verwendet werden können, lohnt sich in jedem Fall die Prüfung beider Event-IDs.

Voraussetzungen, bevor Sie das Protokoll öffnen

Bevor Sie loslegen, sollten einige Punkte geklärt sein. Zunächst benötigen Sie ein Administratorkonto, da die Ereignisanzeige geschützte Systemprotokolle anzeigt. Außerdem sollte mindestens ein Chkdsk-Durchlauf – ob manuell oder automatisch – tatsächlich stattgefunden haben, sonst existiert kein Eintrag.

Darüber hinaus empfiehlt es sich, vorab kurz zu prüfen, wann der letzte Neustart erfolgte. Ein automatischer Chkdsk-Lauf tritt nämlich häufig direkt nach einem unerwarteten Absturz oder Stromausfall auf.

Chkdsk-Protokoll über die Ereignisanzeige öffnen

Der klassische und zuverlässigste Weg führt über die grafische Ereignisanzeige. So gehen Sie vor:

1. Ereignisanzeige öffnen: Drücken Sie die Tastenkombination Windows+R, geben Sie „eventvwr.msc“ ein und bestätigen Sie mit Enter.
2. Windows-Protokolle erweitern: Klicken Sie im linken Bereich auf den Pfeil neben „Windows-Protokolle“.
3. Anwendung auswählen: Klicken Sie auf „Anwendung“, um alle Anwendungsereignisse anzuzeigen.
4. Aktuelles Protokoll filtern: Klicken Sie rechts auf „Aktuelles Protokoll filtern…“, damit die Liste übersichtlich bleibt.
5. Ereignisquellen wählen: Öffnen Sie im Filterfenster das Dropdown-Menü „Ereignisquellen“ und aktivieren Sie sowohl „Wininit“ als auch „Chkdsk“.
6. Filter bestätigen: Klicken Sie auf „OK“, um nur relevante Einträge anzuzeigen.
7. Eintrag öffnen: Klicken Sie auf den neuesten Treffer, um den vollständigen Bericht im unteren Detailbereich zu lesen.

Alternativ tragen Sie im Filterfenster unter „Alle Ereignis-IDs“ direkt „1001“ oder „26226“ ein, um noch gezielter zu filtern. Anschließend lässt sich der komplette Text per Rechtsklick auf den Eintrag und „Details kopieren“ als Text sichern, beispielsweise für eine spätere Auswertung.

Chkdsk-Protokoll per PowerShell auslesen

Wer die grafische Oberfläche umgehen möchte, greift stattdessen auf PowerShell zurück. Dieser Weg liefert zwar meist nur den jüngsten Eintrag, dafür aber deutlich schneller. Gehen Sie folgendermaßen vor:

1. Öffnen Sie das Startmenü, geben Sie „PowerShell“ ein und starten Sie die App als Administrator.
2. Geben Sie folgenden Befehl ein und bestätigen Sie mit Enter:

get-winevent -FilterHashTable @{logname="Application"; id="1001"} | ?{$_.providername -match "wininit"} | fl timecreated, message

3. Windows zeigt daraufhin Zeitpunkt und vollständigen Bericht des letzten Chkdsk-Laufs im Konsolenfenster an.

Sollte kein Ergebnis erscheinen, ersetzen Sie die ID „1001“ probeweise durch „26226“, da die Quelle je nach Scanart variiert. Zusätzlich lässt sich das Ergebnis direkt in eine Textdatei exportieren:

get-winevent -FilterHashTable @{logname="Application"; id="1001"} | ?{$_.providername -match "wininit"} | fl timecreated, message | out-file "$env:userprofileDesktopChkDskLog.txt"

Auf diese Weise landet das Protokoll bequem auf dem Desktop und lässt sich später in Ruhe durchlesen oder weiterleiten.

Chkdsk-Protokoll per Eingabeaufforderung exportieren

Neben PowerShell bietet auch die klassische Eingabeaufforderung (cmd) mit dem Tool „wevtutil“ eine Möglichkeit, gezielt zu filtern. Geben Sie dazu als Administrator folgenden Befehl ein:

wevtutil qe Application /q:"*[System[Provider[@Name='Wininit'] and (EventID=1001)]]" /f:text /c:1 /rd:true

Dieser Befehl zeigt ausschließlich den neuesten Wininit-Eintrag mit Event-ID 1001 an. Wer stattdessen die Quelle „Chkdsk“ prüfen möchte, ersetzt den Namen entsprechend im Befehl. Diese Methode eignet sich besonders für Skripte oder wiederkehrende Kontrollen auf mehreren Rechnern.

Eine benutzerdefinierte Ansicht für Chkdsk-Ereignisse erstellen

Wer das Chkdsk-Protokoll regelmäßig kontrolliert, spart mit einer benutzerdefinierten Ansicht viel Zeit. Diese Funktion blendet alle unwichtigen Ereignisse dauerhaft aus.

1. Klicken Sie in der Ereignisanzeige mit der rechten Maustaste auf „Benutzerdefinierte Ansichten“.
2. Wählen Sie „Benutzerdefinierte Ansicht erstellen…“.
3. Aktivieren Sie unter „Protokolliert“ den Zeitraum, beispielsweise „Letzte 30 Tage“.
4. Wählen Sie als Ereignisprotokoll „Anwendung“ aus.
5. Tragen Sie unter „Ereignisquellen“ sowohl „Wininit“ als auch „Chkdsk“ ein.
6. Vergeben Sie einen Namen wie „Chkdsk-Verlauf“ und bestätigen Sie mit „OK“.

Diese Ansicht bleibt dauerhaft im linken Bereich sichtbar und zeigt künftig automatisch jeden neuen Chkdsk-Eintrag, ohne dass der Filter erneut gesetzt werden muss.

Die wichtigsten Event-IDs und Quellen im Überblick

Da unterschiedliche Chkdsk-Varianten unterschiedliche Spuren hinterlassen, hilft folgende Übersicht bei der Zuordnung:

• Event-ID 1001, Quelle Wininit: klassischer Offline-Scan beim Systemstart, etwa nach „chkdsk /f“ mit anschließendem Neustart
• Event-ID 26226, Quelle Chkdsk: Online-Scan im laufenden Betrieb, zum Beispiel bei einem einfachen „chkdsk“ ohne Reparaturparameter
• Event-ID 26214, Quelle Chkdsk: gelegentlich auf älteren Windows-10-Builds anzutreffen, funktional vergleichbar mit 26226

Da sich die genaue ID je nach Windows-Version, Build und Startmethode unterscheiden kann, ist es sinnvoll, bei der Suche zunächst beide Hauptquellen zu berücksichtigen, statt sich auf eine einzelne ID zu verlassen.

Chkdsk-Ergebnis richtig interpretieren

Ein Protokoll allein hilft wenig, wenn die Bedeutung unklar bleibt. Deshalb lohnt sich ein Blick auf die sogenannten Exitcodes, die Chkdsk am Ende jedes Laufs vergibt:

• 0: Es wurden keine Fehler gefunden.
• 1: Fehler wurden gefunden und automatisch behoben.
• 2: Bereinigung wurde durchgeführt, oder sie unterblieb, weil der Parameter „/f“ fehlte.
• 3: Der Datenträger konnte nicht vollständig geprüft werden, oder Fehler blieben ungelöst.

Zusätzlich enthält der Bericht Klartextmeldungen wie „Windows has scanned the file system and found no problems“ oder Hinweise auf beschädigte Indexeinträge. Erscheint zudem die Aufforderung „Please run chkdsk /spotfix“, deutet das auf Probleme hin, die nur offline vollständig behoben werden können.

Kein Chkdsk-Eintrag vorhanden: mögliche Ursachen

Manchmal bleibt die gefilterte Liste leer, obwohl ein Scan definitiv gelaufen ist. In diesem Fall kommen mehrere Ursachen infrage.

Erstens wurde der Scan eventuell auf einem anderen Laufwerksbuchstaben durchgeführt als erwartet. Zweitens verwendet die jeweilige Windows-Version womöglich eine abweichende Event-ID, weshalb sich ein zusätzlicher Blick auf 26214 oder 1001 lohnt. Drittens wurde das Anwendungsprotokoll zwischenzeitlich geleert, etwa durch eine Bereinigung des Systems.

Um dennoch ein Ergebnis zu erhalten, hilft folgender Ansatz:

• Prüfen Sie zusätzlich das Systemprotokoll, falls die Suche im Anwendungsprotokoll erfolglos bleibt.
• Entfernen Sie den ID-Filter testweise komplett und filtern Sie ausschließlich nach der Quelle.
• Führen Sie Chkdsk erneut gezielt aus, um einen frischen, garantiert protokollierten Eintrag zu erzeugen.

Chkdsk gezielt ausführen und protokollieren lassen

Falls überhaupt noch kein Protokoll existiert, lässt sich ein neuer Scan gezielt starten. Öffnen Sie dazu die Eingabeaufforderung als Administrator und geben Sie ein:

chkdsk C: /f /r

Da das Systemlaufwerk während des Betriebs nicht ausgehängt werden kann, plant Windows den Scan automatisch für den nächsten Neustart ein. Anschließend erscheint der neue Eintrag zuverlässig unter der Quelle „Wininit“ mit der Event-ID 1001.

Für ein anderes Laufwerk, etwa D:, läuft der Scan hingegen sofort und ohne Neustart, sodass der Bericht unmittelbar unter der Quelle „Chkdsk“ auftaucht.

Tipps zur regelmäßigen Kontrolle des Protokolls

Damit sich Probleme frühzeitig zeigen, empfiehlt sich eine gewisse Routine. Zunächst sollte das Protokoll nach jedem ungewöhnlichen Absturz oder Stromausfall kontrolliert werden. Außerdem lohnt sich ein Blick, sobald sich der Rechner spürbar verlangsamt oder Dateien unerklärlich verschwinden.

Zusätzlich hilft die zuvor beschriebene benutzerdefinierte Ansicht dabei, den Überblick dauerhaft zu behalten, ohne jedes Mal den Filter neu einzurichten. Wer mehrere Rechner verwaltet, kann den PowerShell-Befehl zudem in ein einfaches Skript einbauen und regelmäßig automatisiert ausführen lassen.

Häufige Fragen, wenn das Chkdsk-Protokoll gesucht wird

Wo genau speichert Windows das Chkdsk-Protokoll?

Windows speichert die Ergebnisse im Anwendungsprotokoll der Ereignisanzeige, abrufbar unter „Windows-Protokolle“ und „Anwendung“. Zusätzlich liegen Rohdaten geschützt im Ordner „System Volume Information“, der für den normalen Zugriff jedoch gesperrt bleibt.

Welche Event-ID muss ich für Chkdsk suchen?

Meist ist die Event-ID 1001 mit der Quelle „Wininit“ relevant, gelegentlich jedoch auch 26226 mit der Quelle „Chkdsk“. Da beide je nach Scanart auftreten, sollten idealerweise beide durchsucht werden.

Warum finde ich trotz Scan keinen Eintrag?

Häufig liegt es an einer abweichenden Event-ID, einem geleerten Protokoll oder einem falschen Laufwerksbuchstaben. Zudem hilft es, testweise ohne ID-Filter ausschließlich nach der Quelle zu suchen.

Kann ich das Chkdsk-Protokoll auch ohne Administratorrechte öffnen?

Nein, da die Ereignisanzeige geschützte Systemdaten anzeigt, ist ein Administratorkonto zwingend erforderlich. Ohne entsprechende Berechtigung bleiben Teile des Protokolls unzugänglich.

Wie lese ich das Chkdsk-Protokoll am schnellsten aus?

Der PowerShell-Befehl mit „get-winevent“ liefert in wenigen Sekunden den jüngsten Eintrag samt Zeitstempel. Für einen vollständigen Verlauf mehrerer Durchläufe eignet sich hingegen die grafische Ereignisanzeige besser.

Was bedeutet der Hinweis „chkdsk /spotfix“ im Protokoll?

Dieser Hinweis zeigt an, dass einige Fehler bereits im laufenden Betrieb behoben wurden, weitere jedoch eine gezielte Offline-Reparatur benötigen. Anschließend sollte der vorgeschlagene Befehl separat ausgeführt werden.

Wie kann ich das Protokoll dauerhaft im Blick behalten?

Eine benutzerdefinierte Ansicht in der Ereignisanzeige zeigt künftige Chkdsk-Ereignisse automatisch an, ohne dass der Filter erneut gesetzt werden muss. Alternativ lässt sich der PowerShell-Befehl in ein wiederkehrendes Skript einbinden.

Unterscheidet sich das Vorgehen zwischen Windows 11 und Windows 10?

Nein, die grundlegenden Schritte über die Ereignisanzeige, PowerShell und die Eingabeaufforderung sind auf beiden Systemen identisch. Lediglich das Design der Ereignisanzeige weicht optisch geringfügig voneinander ab.

Wie exportiere ich das Chkdsk-Protokoll für den technischen Support?

Am einfachsten klicken Sie den passenden Eintrag in der Ereignisanzeige mit rechts an und wählen „Details kopieren“ als Text. Alternativ liefert der PowerShell-Export direkt eine fertige Textdatei zum Weiterleiten.

Fazit

Zusammenfassend liegt das Chkdsk-Protokoll unter Windows 11 und Windows 10 im Anwendungsprotokoll der Ereignisanzeige, erkennbar an den Quellen „Wininit“ und „Chkdsk“.

Somit lässt sich jeder Scan innerhalb weniger Klicks nachvollziehen, entweder grafisch, per PowerShell oder über eine dauerhafte benutzerdefinierte Ansicht.