Dieser Leitfaden zeigt zwei Wege, um die Größe der Protokolldatei für Kernel Event Tracing ID 4 zu erhöhen. Zur Erinnerung: Event ID 4 aus der Quelle Kernel-EventTracing bedeutet, dass eine Sitzung von Event Tracing for Windows (ETW) beendet wurde, weil sie ihre maximale Dateigröße erreicht hat. Standardmäßig liegt die maximale Dateigröße von ETW-Sitzungen bei 64 Megabyte. Für längere Diagnosen oder ausführliche Protokollierung kann das zu wenig sein.
Weitere Gründe, warum Sie die Protokollgröße für Event ID 4 erhöhen möchten:
- Vorzeitiges Beenden von ETW-Sitzungen verhindern
- Bessere Sichtbarkeit seltener oder vereinzelter Kernel-Ereignisse
- Durchgehende Überwachung in Produktiv- oder Testumgebungen ermöglichen
- Probleme beheben, bei denen Trace-Puffer zu schnell überlaufen
Lieber ein Video? Mehr dazu in unserem Video-Leitfaden: So erhöhen Sie die Protokollgröße für Event ID 4: Kernel-EventTracing in Windows 11.
📌 Empfohlene Vorgehensweisen für die Umsetzung:
| Klicken Sie, um eine Methode auszuwählen | 💻 Am besten für Einzelanwender:innen | 💻💻💻 Am besten für Unternehmen |
| Methode 1: Mit der Leistungsüberwachung | ✓ | |
| Methode 2: Mit PowerShell | ✓ | ✓ |
ETW-Protokollgröße erhöhen: zwei mögliche Methoden
Methode 1: Mit der Leistungsüberwachung
📌 Anwendungsfälle: Diese Methode eignet sich am besten für Einzelanwender:innen oder IT-Fachleute, die einzelne Systeme betreuen. Sie ist außerdem ideal, wenn eine grafische Oberfläche direkt verfügbar ist oder wenn Skripting nicht nötig (oder nicht erlaubt) ist.
📌 Voraussetzungen:
- Diese Methode gilt für alle Windows 11-Editionen.
- Sie benötigen Administratorrechte.
- Die betreffenden Sitzungen sollten unter Ereignisanzeige > Anwendungs- und Dienstprotokolle > Microsoft > Windows > Kernel-EventTracing sichtbar sein.
- Sie müssen wissen, welche ETW-Sitzung den Fehler mit Event ID 4 ausgelöst hat (z. B. Circular Kernel Context Logger).
Schritte:
- Drücken Sie Win + R, geben Sie perfmon ein und drücken Sie die Eingabetaste.
💡 Tipp: Verwenden Sie nicht perfmon /report, das nur die Systemdiagnose anzeigt. Sie benötigen die vollständige Ansicht.
- Suchen Sie im linken Bereich die Baumstruktur unter dem Namen Ihres Computers. Erweitern Sie Sammlungssätze und anschließend Ereignisablaufverfolgungssitzungen. Sie sehen nun eine Liste der aktiven und vordefinierten ETW-Sitzungen.
⚠️ Wichtig: Auf einem vom Unternehmen verwalteten Gerät haben Sie möglicherweise nur eingeschränkten Zugriff auf dieses Menü. In diesem Fall sehen Sie nur „Überwachungstools“ und nicht „Sammlungssätze“. Nutzen Sie dann stattdessen Methode 2 wie beschrieben.
- Suchen Sie die Sitzung, die in Ihrem Protokoll zu Event ID 4 genannt wird, und klicken Sie sie mit der rechten Maustaste an. Meist heißt sie Circular Kernel Context Logger, je nach System oder Diagnosewerkzeug kann der Name aber abweichen.
- Klicken Sie die gewünschte Sitzung mit der rechten Maustaste an und wählen Sie Eigenschaften, um die konfigurierbaren Parameter zu öffnen.
- Wechseln Sie zur Registerkarte Beendigungsbedingung. Erhöhen Sie dort die Maximale Größe (MB) vom Standardwert (in der Regel 64 Megabyte) auf einen höheren Wert, etwa 256 Megabyte oder mehr. So werden längere Traces nicht vorzeitig abgeschnitten.
- Klicken Sie auf Übernehmen und anschließend auf OK.
- Klicken Sie zum Abschluss erneut mit der rechten Maustaste auf die Sitzung und wählen Sie Neu starten. Ist diese Option nicht verfügbar, starten Sie das System neu, damit die neue Einstellung wirksam wird.
Methode 2: Mit PowerShell
📌 Anwendungsfälle: Diese Methode ist eine gute Alternative, wenn Methode 1 für Sie nicht infrage kommt, weil Sie in einem vom Unternehmen verwalteten System arbeiten. Sie eignet sich außerdem ideal für MSPs, die mehrere Systeme aus der Ferne betreuen, sowie für alle, die automatisierte Abläufe bevorzugen.
📌 Voraussetzungen:
- Sie benötigen PowerShell-Zugriff mit Administratorrechten.
- Die betreffenden Sitzungen sollten unter Ereignisanzeige > Anwendungs- und Dienstprotokolle > Microsoft > Windows > Kernel-EventTracing sichtbar sein.
- Sie müssen wissen, welche ETW-Sitzung den Fehler mit Event ID 4 ausgelöst hat (z. B. Circular Kernel Context Logger).
- Der Befehl logman muss verfügbar sein (standardmäßig in Windows enthalten).
💡 Tipp: Brauchen Sie eine Auffrischung? Melden Sie sich für den kostenlosen Crashkurs PowerShell for IT Ninjas an.
Schritte:
- Starten Sie PowerShell als Administrator. Klicken Sie dazu mit der rechten Maustaste auf das Startmenü und wählen Sie Windows Terminal (Administrator) oder PowerShell (Administrator).
- (Optional, aber empfohlen) Prüfen Sie Ihren Zugriff auf logman mit diesem Befehl:
logman query
Gibt der Befehl eine Liste von Sitzungen zurück, haben Sie ausreichende Berechtigungen. Schlägt er mit einer Fehlermeldung fehl, ist Ihr System möglicherweise durch Richtlinien weiter eingeschränkt.
- Weisen Sie den Namen Ihrer Sitzung einer Variablen zu:
$sessionName = "Circular Kernel Context Logger"
- Erhöhen Sie den Puffer mit dem folgenden Befehl auf 256 Megabyte. Passen Sie den Wert nach Bedarf an.
logman update $sessionName -f bincirc -max 256
- Übernehmen Sie die Änderung, indem Sie die Sitzung beenden und neu starten:
logman stop $sessionName && logman start $sessionName
💡 Hinweis: Ersetzen Sie sessionName unbedingt durch den korrekten Sitzungsnamen, den Sie zuvor ermittelt haben (Ereignisanzeige > Anwendungs- und Dienstprotokolle > Microsoft > Windows > Kernel-EventTracing).
So prüfen Sie, ob die neue ETW-Protokollgröße aktiv ist
Methode 1: Prüfung über die Leistungsüberwachung (sofern verfügbar)
- Drücken Sie Win + R, geben Sie perfmon ein und drücken Sie die Eingabetaste.
- Erweitern Sie im linken Bereich Sammlungssätze > Ereignisablaufverfolgungssitzungen
- Klicken Sie mit der rechten Maustaste auf die geänderte Sitzung (zum Beispiel Circular Kernel Context Logger) und wählen Sie Eigenschaften.
- Prüfen Sie auf der Registerkarte Beendigungsbedingung, ob der Wert für die Maximale Größe (MB) dem gerade festgelegten Wert entspricht, also zum Beispiel 256.
💡 Hinweis: Falls diese grafische Option wegen eingeschränkter Berechtigungen nicht verfügbar ist (bei vom Unternehmen verwalteten Geräten häufig der Fall), nutzen Sie die Prüfung über PowerShell.
Methode 2: Prüfung mit PowerShell (über logman)
- Öffnen Sie PowerShell als Administrator
- Führen Sie den folgenden Befehl aus:
logman query "Circular Kernel Context Logger"
💡 Hinweis: Ersetzen Sie „Circular Kernel Context Logger“ durch die Sitzung, die Sie zuvor geändert haben.
- Achten Sie auf eine Zeile, die etwa so aussieht:
Maximale Größe: 256 MB
💡 Hinweis: Das gilt nur, wenn Sie den Maximalwert auf 256 Megabyte gesetzt haben. Achten Sie auf einen Wert, der dem in den oben genannten Methoden verwendeten Wert entspricht.
Wird nicht der erwartete Wert angezeigt, führen Sie den Befehl logman update wie in Methode 2, Schritt 2 beschrieben erneut aus und starten Sie die Sitzung neu, damit die Änderungen übernommen werden.
⚠️ Darauf sollten Sie achten
| Risiken | Mögliche Folgen | Rückgängig machen |
| Übermäßig große Protokolle (z. B. >1 GB) | Können den Speicherplatz schnell aufbrauchen, besonders auf Systemen mit wenig Speicher. | Verringern Sie die Größe mit logman update <SessionName> -max <SmallerSize> oder über die Registerkarte Beendigungsbedingung in der Leistungsüberwachung. Überwachen Sie die Speicherbelegung regelmäßig. |
| Sitzung nach der Änderung nicht neu gestartet | Die neuen Einstellungen werden erst nach einem Neustart der Sitzung wirksam. Die Protokollierung läuft bis dahin mit der alten Puffergröße weiter. | Führen Sie logman stop und logman start aus oder starten Sie das System neu. Prüfen Sie das Ergebnis immer mit logman query. |
| Falsche Sitzung geändert | Das Ändern einer nicht betroffenen ETW-Sitzung kann Anbieter-Tools, Diagnosen oder Basisprotokolle zur Leistung beeinträchtigen. | Prüfen Sie die Sitzungsnamen sorgfältig. Mit logman query listen Sie die verfügbaren Sitzungen auf. Im Zweifel setzen Sie die Einstellungen mit derselben Methode auf den ursprünglichen Wert zurück. |
| Fehlende Berechtigungen | Änderungen der Protokollgröße schlagen stillschweigend fehl, vor allem in verwalteten Umgebungen mit GPO- oder RMM-Einschränkungen. | Stellen Sie sicher, dass Sie PowerShell als Administrator ausführen. Bei Einschränkungen stimmen Sie sich mit Ihrem Unternehmens-IT-Team ab oder nutzen Sie freigegebene RMM-Bereitstellungsvorlagen. |
| Konflikte mit anderen Protokollierungs-Tools | Tools wie der Windows Performance Recorder oder anbieterspezifische Diagnosen können überlappende Sitzungen anlegen oder Größenbeschränkungen überschreiben. | Pausieren oder deaktivieren Sie andere Trace-Sitzungen vorübergehend, während Sie Änderungen vornehmen. Stellen Sie die ursprünglichen Einstellungen danach bei Bedarf wieder her. |
| Ereignisablaufverfolgung per Richtlinie deaktiviert | Änderungen bleiben wirkungslos, wenn ETW selbst deaktiviert ist oder der Dienst Leistungsprotokolle und -warnungen beendet wurde. | Prüfen Sie, ob der Dienst pla läuft: Get-Service pla. Falls nicht, fordern Sie die Berechtigung an oder wenden Sie sich an Ihre Sicherheits- oder Endpunkt-Administration. |
Weitere Hinweise zum Erhöhen der Protokollgröße für Event ID 4
- Diese Methode funktioniert bei Standard-Systemsitzungen ebenso wie bei anbieterspezifischen Trace-Sitzungen.
- Größere Puffer belegen mehr Speicherplatz. Stellen Sie sicher, dass genügend Platz vorhanden ist, bevor Sie die maximale Protokollgröße ändern.
- Eine größere Protokolldatei kann wiederholte Fehler mit Event ID 4 im Systemprotokoll verhindern.
Zusammenfassung: Protokollgröße für Kernel Event Tracing ID 4 erhöhen
Die ETW-Protokolldatei für Kernel-EventTracing-Sitzungen zu vergrößern, ist unter Windows 11 entscheidend, um vorzeitiges Abschneiden der Protokolle zu verhindern und vollständige Diagnosedaten zu erfassen. Dafür stehen Ihnen zwei Methoden zur Wahl.
Verwandte Themen:
