EVTX-Viewer

Öffne ein Windows-Ereignisprotokoll auf jedem beliebigen Rechner — ohne Windows-Maschine, ohne Ereignisanzeige, ohne Installation. Lege unten eine .evtx-Datei ab, und sie wird lokal in diesem Browser-Tab von einer WebAssembly-Version derselben Parser-Engine geparst, die auch Forensik-Tools nutzen: zuerst die Zusammenfassung (Anzahl der Datensätze, Zeitraum, Kanäle, häufigste Anbieter und Ereignis-IDs), danach eine filterbare Tabelle, in der sich jeder Datensatz zu seinen strukturierten Feldern und seinem rohen XML öffnen lässt. Ereignisprotokolle sind Beweismaterial — sie nennen Benutzer, Rechner, IP-Adressen und Anmeldezeiten —, deshalb wird die Datei nie hochgeladen, nie protokolliert und verlässt nie dein Gerät.

Zuletzt aktualisiert:

Lege hier eine .evtx-Datei ab oder wähle eine aus — bis zu 64 MB. Exportierte Protokolle (Rechtsklick auf ein Protokoll in der Ereignisanzeige → „Alle Ereignisse speichern unter…“) funktionieren ebenso wie Dateien, die aus C:\Windows\System32\winevt\Logs kopiert wurden. Nichts wird hochgeladen: Das Parsen geschieht auf deinem Gerät, in einem Web Worker, mit Fortschrittsanzeige unterwegs.

Das Parsen übernimmt die evtx-Crate (Rust, Version 0.14.0), genutzt unter der MIT- oder Apache-2.0-Lizenz und mit einem dünnen, im Repository dieser Site gepflegten Wrapper zu WebAssembly kompiliert. Der Parser läuft vollständig in deinem Browser.

Was das hier zeigt — und was eine .evtx dir nicht sagen kann

Eine .evtx-Datei speichert jedes Ereignis als strukturiertes binäres XML: einen System-Block (Ereignis-ID, Anbieter, Kanal, Ebene, Zeitstempel, Datensatz-ID) und die Datenfelder des Ereignisses (EventData oder UserData). Genau diese Struktur stellt dieser Viewer dar — sortierbar, filterbar, exportierbar. Was die Datei nicht enthält, ist der freundliche Meldungstext, den die Ereignisanzeige zeigt („Ein Konto konnte sich nicht anmelden…“). Windows erzeugt diesen Text auf der Maschine, die das Protokoll geschrieben hat, aus den Meldungs-DLLs des jeweiligen Anbieters; Werte wie %%14592 in den Daten sind Platzhalter für diese DLL-Zeichenfolgen. Jedes Tool, das dir für eine fremde .evtx einen polierten Meldungstext zeigt, rekonstruiert oder rät ihn — dieses hier zeigt dir die Felder, also den Teil, der tatsächlich Beweismaterial ist, und auf Wunsch das rohe XML, wenn du den Datensatz genau so sehen willst, wie er gespeichert ist. Der Begleitartikel EVTX-Dateien ohne Windows-Maschine lesen führt mit echten Ereignis-IDs durch eine Triage-Routine.

Zwei weitere ehrliche Hinweise. Zeitstempel in einer .evtx stehen in UTC; die Ereignisanzeige zeigt sie in die Ortszeit des Rechners umgerechnet, auf dem du sie öffnest — was schon mehr als eine Zeitachse durcheinandergebracht hat —, die Tabelle hier bleibt in UTC und sagt das auch. Und ein beschädigtes oder abgeschnittenes Protokoll wird nicht stillschweigend „bereinigt“: Chunks, die sich nicht parsen lassen, werden über der Tabelle mit ihren Byte-Offsets aufgeführt, damit du genau weißt, wie viel von der Datei du nicht siehst. Schäden auf Chunk-Ebene sind bei Protokollen, die aus Datenträgerabbildern herausgeschnitten wurden, normal, und die Datensätze rund um den Schaden parsen trotzdem. Für die benachbarte Datei-Forensik-Aufgabe liest der PCAP-Analysator Paketmitschnitte nach derselben Regel — lokal, nie hochgeladen.

Häufige Fragen

Kann ich eine .evtx-Datei auf einem Mac oder einem Linux-Rechner öffnen?

Ja — genau dafür ist diese Seite da. Die Ereignisanzeige gibt es nur unter Windows, aber das .evtx-Format ist ein dokumentiertes Binärformat, und der Parser hier (eine WebAssembly-Version der Rust-Crate evtx) läuft in jedem modernen Browser auf jedem Betriebssystem. Kopiere die Datei von der Windows-Maschine oder aus dem Datenträgerabbild, lege sie hier ab und lies sie dort, wo du bist.

Warum sehe ich den Ereignismeldungstext nicht, wie in der Ereignisanzeige?

Weil er nicht in der Datei steht. Eine .evtx speichert die strukturierten Felder jedes Ereignisses; der Satz, den die Ereignisanzeige zeigt, wird auf einer Windows-Maschine aus der Meldungs-DLL des Anbieters erzeugt, und diese reist nicht mit dem Protokoll. Werte wie %%14592 sind Verweise in diese DLL-Zeichenfolgen. Dieser Viewer zeigt dir alles, was die Datei tatsächlich enthält — den System-Block, jedes EventData-/UserData-Feld und das rohe XML —, statt einen Meldungstext zu erfinden, den er nicht kennen kann.

Ist es sicher, hier ein sensibles Protokoll zu öffnen? Wohin geht die Datei?

Nirgendwohin. Die Datei wird von einem Web Worker in deinem eigenen Browser-Tab gelesen; es gibt keinen Upload-Endpunkt, kein Konto und keine Protokollierung von Dateiinhalten. Du kannst das genauso prüfen wie bei den anderen lokalen Tools auf dieser Site: Seite laden, offline gehen — und die Analyse funktioniert weiterhin. Das zählt, weil Ereignisprotokolle Benutzer, Rechner und IP-Adressen nennen — behandle sie als Beweismaterial, nicht als etwas, das man in Cloud-Konverter oder KI-Chats einfügt.

In der Zusammenfassung stehen Chunks, die nicht gelesen werden konnten. Ist meine Datei kaputt?

Teilweise — und das ist bei Protokollen, die aus Datenträgerabbildern geborgen oder aus abgebrochenen Kopien stammen, normal. Eine .evtx ist eine Folge von Chunks mit je 64 KB; Schäden zerstören meist einzelne Chunks, nicht die Datei. Der Viewer meldet jeden unlesbaren Chunk mit seinem Byte-Offset und parst alles um ihn herum, damit du genau weißt, was fehlt, statt ein still verkürztes Protokoll zu bekommen. Ein Chunk, der nur aus Nullen besteht, ist vorab reservierter Platz, kein Schaden, und wird kommentarlos übersprungen — genau so, wie Windows ihn behandelt.

Wie groß darf ein Protokoll sein, das ich öffnen kann?

Bis zu 64 MB — das entspricht bei der typischen Dichte eines Sicherheitsprotokolls in der Größenordnung von 130.000 Datensätzen. Das Parsen läuft in Batches mit Fortschrittsanzeige, sodass selbst eine Datei dieser Größe reaktionsschnell bleibt; die Tabelle paginiert ihre Ergebnisse, statt jede Zeile auf einmal darzustellen. Wenn du ein größeres Protokoll aufteilen musst, exportiere die gefilterten Teilmengen, die dich interessieren, als JSON oder CSV und arbeite damit weiter.