Windows 11/10: Speicherabbilder bei BSOD erstellen – So geht’s

Speicherabbilder bei BSOD in Windows 10 und 11 erstellen: So konfigurieren Sie den Kernel- oder Minidump – für gezielte Fehleranalyse nach einem Systemabsturz.

Ein Bluescreen (BSOD) ist für viele Nutzer ein Schreckensszenario – doch das Betriebssystem speichert beim Absturz wertvolle Diagnosedaten in einer sogenannten Speicherabbilddatei (Dump-Datei).

Wer weiß, wie man diese Datei unter Windows 10 und Windows 11 korrekt konfiguriert, erstellt und auswertet, kann die genaue Absturzursache identifizieren und gezielt beheben. Dieser Artikel zeigt Ihnen alle Schritte.

Was ist ein Speicherabbild und warum ist es bei einem BSOD wichtig?

Wenn Windows 10 oder Windows 11 mit einem Bluescreen of Death (BSOD) abstürzt, hält das Betriebssystem in Sekundenbruchteilen den gesamten Zustand des Arbeitsspeichers fest. Diesen Schnappschuss nennt man Speicherabbild, Memory Dump oder Dump-Datei – sie trägt die Dateiendung .dmp oder .MDMP. Darin enthalten sind der Fehlercode (Bugcheck-Code), betroffene Prozesse, der Status der CPU-Register sowie Informationen über alle zu diesem Zeitpunkt geladenen Treiber.

Ohne ein korrekt konfiguriertes Speicherabbild bleibt die Fehlersuche nach einem Bluescreen oft im Dunkeln. Deshalb ist es wichtig, Windows so einzustellen, dass beim nächsten BSOD automatisch eine verwertbare Dump-Datei angelegt wird. Außerdem lassen sich vorhandene Dump-Dateien mit speziellen Analyse-Tools auswerten, um den Übeltäter – ob fehlerhafter Treiber, defekter RAM oder beschädigte Systemdatei – zuverlässig zu identifizieren.

Die vier Typen von Speicherabbildern unter Windows 10 und 11

Windows 10 und Windows 11 bieten grundsätzlich vier verschiedene Arten von Speicherabbildern an. Jeder Typ liefert unterschiedlich viele Informationen und belegt entsprechend unterschiedlich viel Speicherplatz:

1. Kleines Speicherabbild (Minidump)
Ein Minidump ist die kompakteste Variante. Er enthält lediglich die grundlegenden Absturzinformationen – den Bugcheck-Code, eine Liste geladener Treiber sowie einige wenige Stack-Daten. Die Dateigröße beträgt in der Regel zwischen 64 KB und 1 MB. Windows legt Minidumps standardmäßig unter C:\Windows\Minidump ab und benennt sie nach dem Erstellungszeitpunkt, zum Beispiel Mini060426-01.dmp. Dieser Typ eignet sich für einen schnellen Überblick und für Einsteiger.

2. Kernelspeicherabbild
Das Kernelspeicherabbild erfasst nur den Arbeitsspeicherbereich, der dem Kernel und der Hardware-Abstraktionsebene (HAL) zugewiesen ist. Zusätzlich enthält es keinen Speicher, der Programmen im Benutzermodus zugewiesen wurde. Dadurch ist er deutlich kleiner als ein vollständiges Abbild, liefert jedoch genug Informationen für die meisten Treiberanalysen. Er wird standardmäßig als C:\Windows\MEMORY.DMP gespeichert.

3. Vollständiges Speicherabbild
Das vollständige Speicherabbild ist die umfangreichste Option. Es kopiert den gesamten physischen Arbeitsspeicher des Systems zum Zeitpunkt des Absturzes – inklusive Benutzer- und Kernelbereich. Dadurch ist die Datei so groß wie der installierte RAM: Bei 16 GB RAM entsteht demnach eine Dump-Datei von rund 16 GB. Microsoft empfiehlt dafür mindestens 25 GB freien Speicherplatz auf der Systempartition (üblicherweise Laufwerk C:). Das vollständige Abbild eignet sich für tiefgehende Analysen und wird ebenfalls als C:\Windows\MEMORY.DMP abgelegt.

4. Automatisches Speicherabbild
Der automatische Typ ist in Windows 10 und 11 standardmäßig voreingestellt. Windows entscheidet dabei selbst, wie viel Speicher aufgezeichnet wird – in der Regel ähnlich wie beim Kernelspeicherabbild, jedoch mit dynamischer Anpassung je nach verfügbarem Festplattenspeicher. Für die meisten Heimanwender ist dieser Typ ausreichend.

Speicherabbild konfigurieren unter Windows 10 und Windows 11 – Schritt für Schritt

Damit beim nächsten BSOD eine auswertbare Dump-Datei entsteht, müssen Sie Windows vorab entsprechend einrichten. Die Einstellung befindet sich in den erweiterten Systemeigenschaften und gilt identisch für Windows 10 und Windows 11.

Variante 1: Über die Systemeigenschaften (empfohlene Vorgehensweise)

1. Drücken Sie Windows-Taste + R, geben Sie sysdm.cpl ein und bestätigen Sie mit Enter.
2. Das Fenster „Systemeigenschaften“ öffnet sich. Wechseln Sie auf den Reiter Erweitert.
3. Klicken Sie im Abschnitt Starten und Wiederherstellen auf Einstellungen.
4. Im Bereich Systemfehler finden Sie das Dropdown-Menü Debuginformationen speichern. Wählen Sie dort den gewünschten Dump-Typ aus – für eine gründliche Analyse empfehlen wir Vollständiges Speicherabbild oder zumindest Kernelspeicherabbild.
5. Stellen Sie sicher, dass der Dateipfad auf %SystemRoot%\MEMORY.DMP gesetzt ist.
6. Deaktivieren Sie außerdem die Option Automatischen Neustart durchführen, damit Sie den BSOD-Fehlercode am Bildschirm ablesen können, bevor das System neu startet.
7. Klicken Sie dreimal auf OK und starten Sie den PC anschließend neu, damit die Änderungen wirksam werden.

Variante 2: Über die Windows-Suche (alternativ unter Windows 10/11)

1. Klicken Sie auf das Suchfeld in der Taskleiste und tippen Sie Erweiterte Systemeinstellungen ein.
2. Öffnen Sie den angezeigten Treffer und navigieren Sie wie oben beschrieben zu Erweitert → Starten und Wiederherstellen → Einstellungen.
3. Führen Sie die Schritte 4 bis 7 aus Variante 1 aus.

Hinweis zum Speicherplatz

Bevor Sie das vollständige Speicherabbild aktivieren, prüfen Sie den freien Speicherplatz auf Laufwerk C:. Öffnen Sie dazu den Datei-Explorer, klicken Sie mit der rechten Maustaste auf Laufwerk C: und wählen Sie Eigenschaften. Der freie Speicherplatz sollte mindestens der Größe Ihres installierten RAMs plus einige zusätzliche Gigabyte entsprechen. Anderenfalls wählen Sie besser das Kernelspeicherabbild, das deutlich weniger Platz benötigt.

Speicherabbild manuell per Tastatur auslösen (für Testzwecke)

Manchmal friert Windows ein, ohne einen Bluescreen zu erzeugen. In solchen Fällen können Sie unter Windows 10 und Windows 11 einen BSOD und damit ein Speicherabbild manuell per Tastatur erzwingen. Dazu ist jedoch eine einmalige Registrierungsänderung notwendig.

Vorgehen für USB-Tastaturen:

1. Öffnen Sie den Registrierungs-Editor mit der Tastenkombination Windows-Taste + R, Eingabe regedit, Bestätigung mit Enter.
2. Navigieren Sie zum Schlüssel: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\kbdhid\Parameters
3. Erstellen Sie dort einen neuen DWORD-Wert (32-Bit) mit dem Namen CrashOnCtrlScroll und setzen Sie den Wert auf 1.
4. Starten Sie den Computer neu.
5. Ab sofort können Sie durch zweimaliges Drücken von Scroll Lock bei gedrückter rechter Strg-Taste einen kontrollierten BSOD auslösen. Windows erstellt dann sofort ein Speicherabbild.

Vorgehen für PS/2-Tastaturen:

Der Registrierungspfad lautet hier: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\i8042prt\Parameters
Auch hier legen Sie den DWORD-Wert CrashOnCtrlScroll mit dem Wert 1 an und starten danach neu.

Wo liegt die Dump-Datei nach einem BSOD?

Nachdem Windows abgestürzt ist und neu gestartet hat, finden Sie die Speicherabbilddateien an folgenden Standardpfaden:

• Minidump-Dateien: C:\Windows\Minidump\ (mehrere zeitgestempelte .dmp-Dateien)
• Vollständiges Abbild / Kernelabbild: C:\Windows\MEMORY.DMP (wird bei jedem Absturz überschrieben, sofern nicht anders konfiguriert)

Falls der Ordner C:\Windows\Minidump nicht existiert, hat Windows entweder noch keinen Absturz aufgezeichnet oder die Speicherabbild-Funktion war bislang deaktiviert. Deshalb ist die vorherige Konfiguration so entscheidend. Außerdem sind diese Ordner standardmäßig als Systemordner versteckt – aktivieren Sie im Datei-Explorer unter Ansicht → Versteckte Elemente die Anzeige verborgener Dateien, damit Sie die Dateien sehen.

Speicherabbild auswerten – Die besten Tools im Überblick

Eine rohe .dmp-Datei ist für Menschen nicht direkt lesbar, da es sich um eine Binärdatei handelt. Deshalb benötigen Sie spezialisierte Analyse-Tools. Folgende Programme empfehlen wir konkret:

BlueScreenView (Nirsoft) – für Einsteiger

BlueScreenView von Nirsoft ist kostenlos, benötigt keine Installation und liest alle im Ordner C:\Windows\Minidump gespeicherten Dump-Dateien automatisch ein. Das Tool zeigt den Fehlercode, den Absturzzeitpunkt sowie den oder die betroffenen Treiber übersichtlich in einer Tabelle an. Der betroffene Treiber wird dabei in der Ergebnisliste farblich hervorgehoben.

So gehen Sie vor:

1. Laden Sie BlueScreenView von der Nirsoft-Website herunter (bluescreenview.exe).
2. Starten Sie das Programm – es erfordert keine Installation.
3. BlueScreenView liest automatisch alle vorhandenen Minidump-Dateien ein.
4. Klicken Sie auf einen Eintrag, um im unteren Bereich die betroffenen Treiber zu sehen.
5. Der in rosa markierte Treiber ist in der Regel für den Absturz verantwortlich.

WhoCrashed (Resplendence Software) – für Einsteiger und Fortgeschrittene

WhoCrashed analysiert ebenfalls Dump-Dateien und erstellt daraus einen leicht verständlichen Bericht in Textform. Das Tool erklärt den Absturz in einfachen Worten und nennt konkrete Handlungsempfehlungen. Auch WhoCrashed ist in einer kostenlosen Basisversion erhältlich.

So gehen Sie vor:

1. Laden Sie WhoCrashed von der Website resplendence.com herunter und installieren Sie es.
2. Starten Sie WhoCrashed und klicken Sie auf Analyze.
3. Das Tool durchsucht selbstständig alle vorhandenen Dump-Dateien.
4. Im Ergebnisbericht sehen Sie im Abschnitt Crash Dump Analysis den Fehlercode, den Zeitpunkt und den Schuldigen in Form eines Treibernamens oder Moduls.

WinDbg Preview (Microsoft) – für Fortgeschrittene und Profis

WinDbg Preview ist das offizielle Debugging-Tool von Microsoft und liefert die mit Abstand detailliertesten Analyseergebnisse. Es ist kostenlos im Microsoft Store erhältlich und eignet sich besonders für tiefgehende Untersuchungen, bei denen BlueScreenView oder WhoCrashed keine eindeutige Ursache benennen können.

So gehen Sie vor:

1. Installieren Sie WinDbg Preview über den Microsoft Store (Suchbegriff: „WinDbg“).
2. Starten Sie WinDbg Preview mit Administratorrechten.
3. Klicken Sie auf File → Open dump file (oder drücken Sie Strg + D).
4. Navigieren Sie zu C:\Windows\Minidump und öffnen Sie die gewünschte .dmp-Datei.
5. Sobald die Datei geladen ist, geben Sie in der Befehlszeile am unteren Rand den Befehl !analyze -v ein und drücken Sie Enter.
6. WinDbg führt nun eine vollständige Diagnose durch. Achten Sie in der Ausgabe besonders auf die Felder BUGCHECK_CODE, MODULE_NAME und IMAGE_NAME – sie zeigen die Fehlerursache.

Tipp: Für noch präzisere Ergebnisse empfehlen wir, vor der Analyse die Debugging Symbols von Microsoft herunterzuladen. Diese laden Sie über File → Symbol File Path und geben dort srv*C:\Symbols*https://msdl.microsoft.com/download/symbols ein.

Häufige BSOD-Ursachen, die Speicherabbilder aufdecken

Die Auswertung von Dump-Dateien führt in der Praxis häufig auf eine dieser Ursachen:

Fehlerhafte oder veraltete Treiber sind die häufigste Ursache für BSODs unter Windows 10 und Windows 11. Besonders Grafikkartentreiber, Netzwerktreiber und Treiber für externe Hardware fallen dabei auf. Das Speicherabbild nennt in diesen Fällen konkret den Dateinamen des verantwortlichen Treibers, zum Beispiel nvlddmkm.sys (NVIDIA) oder ntoskrnl.exe.

Defekter Arbeitsspeicher (RAM) erzeugt ebenfalls häufige BSODs. Wenn das Speicherabbild auf Fehler in ntoskrnl.exe oder hal.dll hinweist und kein spezifischer Treiber benannt wird, lohnt ein RAM-Test mit Windows Memory Diagnostic (über die Suche aufrufbar) oder dem kostenlosen Tool MemTest86.

Beschädigte Systemdateien können nach einem unvollständigen Windows-Update oder einem plötzlichen Stromausfall entstehen. Zudem zeigt das Speicherabbild in solchen Fällen häufig Systemdateien wie win32k.sys oder ntfs.sys als Verursacher. Abhilfe schafft der SFC-Scan über die Eingabeaufforderung mit dem Befehl sfc /scannow.

Überhitzung äußert sich in BSODs, die scheinbar zufällig auftreten – oft nach längerer Last. Außerdem finden Sie im Speicherabbild in diesen Fällen häufig keine eindeutige Softwareursache, was ein starkes Indiz für ein Hardwareproblem ist.

Treiberüberprüfung (Driver Verifier) nutzen – für schwer reproduzierbare Abstürze

Wenn BSODs unregelmäßig auftreten und sich kaum reproduzieren lassen, bietet Windows den integrierten Treiberüberprüfungs-Manager (Driver Verifier) an. Dieses Tool erzeugt gezielt Druck auf verdächtige Treiber und provoziert einen BSOD samt Speicherabbild, sobald ein Treiber sich fehlerhaft verhält.

So aktivieren Sie die Treiberüberprüfung:

1. Öffnen Sie die Eingabeaufforderung als Administrator (Rechtsklick auf das Startmenü → „Terminal (Administrator)“).
2. Geben Sie verifier ein und drücken Sie Enter. Der Treiberüberprüfungs-Manager öffnet sich.
3. Wählen Sie Standardeinstellungen erstellen und klicken Sie auf Weiter.
4. Wählen Sie Alle Treiber automatisch auswählen und klicken Sie auf Fertig stellen.
5. Starten Sie den Computer neu. Windows läuft nun im Überprüfungsmodus.
6. Sobald ein Absturz auftritt, erstellt Windows ein detailliertes Speicherabbild, das den verantwortlichen Treiber eindeutig benennt.

Wichtig: Deaktivieren Sie die Treiberüberprüfung nach der Diagnose wieder. Geben Sie dazu erneut verifier /reset in der Administrator-Eingabeaufforderung ein und starten Sie neu. Andernfalls bleibt das System dauerhaft im Überprüfungsmodus, was die Performance erheblich beeinträchtigt.

Speicherabbild-Einstellungen per Registrierungs-Editor anpassen

Falls das vollständige Speicherabbild in der Dropdown-Liste unter Starten und Wiederherstellen nicht angezeigt wird, können Sie den Dump-Typ direkt in der Registrierung setzen. Dies ist außerdem nützlich, wenn Sie die Einstellungen per Skript auf mehreren PCs ausrollen möchten.

Der relevante Registrierungsschlüssel lautet:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\CrashControl

Folgende DWORD-Werte sind dort relevant:

• CrashDumpEnabled: Legt den Dump-Typ fest. Wert 1 = Vollständig, 2 = Kernel, 3 = Kleines Abbild (Minidump), 7 = Automatisch.
• DumpFile: Gibt den Speicherpfad der Dump-Datei an (Standard: %SystemRoot%\MEMORY.DMP).
• MinidumpDir: Pfad für Minidump-Dateien (Standard: %SystemRoot%\Minidump).
• AutoReboot: Wert 0 verhindert den automatischen Neustart nach einem BSOD – empfohlen für die Fehlerdiagnose.
• Overwrite: Wert 1 überschreibt eine vorhandene MEMORY.DMP bei jedem neuen Absturz.

Häufige Fragen zu BSOD und Speicherabbildern

Wo wird das Speicherabbild unter Windows 10 und 11 gespeichert?

Minidump-Dateien liegen standardmäßig unter C:\Windows\Minidump und tragen zeitgestempelte Namen wie Mini060426-01.dmp. Vollständige Abbilder und Kernel-Dumps werden hingegen als einzelne Datei unter C:\Windows\MEMORY.DMP gespeichert. Falls der Minidump-Ordner nicht existiert, ist die Funktion deaktiviert oder es gab noch keinen Absturz.

Warum wird kein Speicherabbild erstellt, obwohl ich einen BSOD hatte?

Häufig ist der Grund ein falsch konfigurierter Dump-Typ oder zu wenig freier Speicherplatz auf Laufwerk C:. Außerdem kann ein zu frühzeitiger automatischer Neustart das Schreiben der Dump-Datei unterbrechen. Überprüfen Sie deshalb unter Starten und Wiederherstellen, ob der richtige Typ eingestellt und die Option „Automatischen Neustart durchführen“ deaktiviert ist.

Welches Tool empfiehlt sich zum Öffnen einer .dmp-Datei?

Für Einsteiger eignet sich BlueScreenView von Nirsoft, da es ohne Installation startet und Ergebnisse sofort lesbar aufbereitet. Fortgeschrittene Anwender greifen zu WinDbg Preview aus dem Microsoft Store, das mit dem Befehl !analyze -v eine vollständige Diagnose liefert.

Wie groß ist ein vollständiges Speicherabbild?

Ein vollständiges Speicherabbild entspricht in etwa der Größe des installierten physischen Arbeitsspeichers. Bei 16 GB RAM entsteht demnach eine Datei von ungefähr 16 GB. Deshalb benötigt Microsoft mindestens 25 GB freien Speicherplatz auf der Systempartition für diesen Dump-Typ.

Kann ich mehrere Speicherabbilder aufbewahren?

Vollständige Abbilder und Kernel-Dumps werden standardmäßig bei jedem Absturz als MEMORY.DMP überschrieben. Minidumps hingegen werden mit Zeitstempel einzeln im Ordner C:\Windows\Minidump gespeichert, sodass Sie mehrere Abstürze vergleichen können. Deaktivieren Sie die Option Overwrite in der Registrierung, um auch vollständige Abbilder nicht zu überschreiben.

Wie lese ich den BSOD-Fehlercode aus dem Speicherabbild?

Öffnen Sie die .dmp-Datei mit BlueScreenView oder WinDbg Preview. In BlueScreenView zeigt die erste Spalte den Bug-Check-Code in hexadezimaler Form, zum Beispiel 0x0000007E. In WinDbg erscheint der Code nach dem Befehl !analyze -v im Feld BUGCHECK_CODE. Anschließend können Sie den Code auf der Microsoft-Website nachschlagen.

Was bedeutet „Automatisches Speicherabbild“ in Windows 11?

Das automatische Speicherabbild ist die Standardeinstellung in Windows 10 und Windows 11. Dabei entscheidet das Betriebssystem selbst, wie viel RAM aufgezeichnet wird – ähnlich wie beim Kernelspeicherabbild, jedoch mit dynamischer Anpassung. Dieser Typ benötigt weniger Speicherplatz als das vollständige Abbild und ist für die meisten Diagnosezwecke ausreichend.

Kann ich ein Speicherabbild manuell auslösen, ohne einen echten Absturz?

Ja, das ist möglich. Dazu aktivieren Sie in der Registrierung den Wert CrashOnCtrlScroll unter dem Pfad HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\kbdhid\Parameters (USB-Tastatur). Nach einem Neustart lösen Sie den BSOD durch zweimaliges Drücken von Scroll Lock bei gedrückter rechter Strg-Taste aus. Windows schreibt anschließend sofort ein Speicherabbild.

Wie deaktiviere ich die Speicherabbild-Funktion wieder?

Öffnen Sie über Windows-Taste + R → sysdm.cpl die Systemeigenschaften und wechseln Sie zu Erweitert → Starten und Wiederherstellen → Einstellungen. Wählen Sie dort im Dropdown-Menü Keins aus und bestätigen Sie mit OK. Windows erstellt danach bei Abstürzen keine Dump-Dateien mehr.

Was tue ich, wenn WinDbg keinen schuldigen Treiber benennt?

Falls !analyze -v keinen eindeutigen Treiber nennt und stattdessen auf ntoskrnl.exe oder hal.dll verweist, deutet dies häufig auf Hardware-Probleme hin – insbesondere defekten RAM oder Überhitzung. Führen Sie in diesem Fall das Windows Memory Diagnostic (Eingabe mdsched.exe über Windows + R) aus oder testen Sie den RAM mit MemTest86. Zusätzlich prüfen Sie die Temperaturen mit HWiNFO64.

Fazit

Speicherabbilder sind bei einem BSOD unter Windows 10 und Windows 11 das wichtigste Diagnosewerkzeug. Wer die Einstellungen vorab korrekt konfiguriert, erhält nach jedem Absturz eine auswertbare Dump-Datei. Mit Tools wie BlueScreenView, WhoCrashed oder WinDbg Preview lässt sich die genaue Ursache – ob Treiberfehler, RAM-Problem oder beschädigte Systemdatei – zuverlässig eingrenzen.

Handeln Sie deshalb vorsorglich: Stellen Sie den Dump-Typ ein, bevor der nächste BSOD auftritt. So sparen Sie bei der Fehlersuche wertvolle Zeit.