Heute noch ein kleiner Tipp für Troubleshooter und Administratoren unter Windows. Bei Problemen, wo der Anwender sagt “hab nix gemacht und nix ausgeführt, ist einfach so gekommen” ist es ganz nützlich, die Liste der zuletzt ausgeführten Programme einzusehen.
Im Sinne “Welche Daten speichert Windows und was könnten Dritte abfragen” kommt als erstes die Erkenntnis – dass da jede gestartete Anwendung durch Windows protokolliert wird. Blogger-Kollege Martin Brinkmann hat das vor einem Jahr mal in diesem Beitrag aufgedröselt. Hier die von ihm zusammen getragene Auswahl an Registrierungsschlüsseln:
- HKEY_CURRENT_USER\Software\Classes\Local Settings\Software\Microsoft\Windows\Shell\MuiCache
- HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache
- HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Compatibility Assistant\Persisted
- HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Compatibility Assistant\Store
Dieser Artikel und dieser Beitrag führen ebenfalls die Schlüssel und Ordner auf – und hier gibt es eine weitere Diskussion, was man noch tun kann. In der Ereignisanzeige dürfte sich noch viel mehr finden – und wer mal seine Ordner durchgeht, findet Leichen von längst deinstallierten Programmen.
Einfach mal ExecutedProgramsList befragen
Statt aber jetzt mühsam in der Registrierung herumzuwurschteln, kann man sich das Leben auch einfacher machen. Ich hab es kürzlich bei Wolfgang Sommergut gesehen, aber Martin Brinkmann hat es auch in seinem oben verlinkten Beitrag erwähnt: Die Entwickler bei NirSoft haben ein nettes Tool ExecutedProgramsList geschrieben und bieten dieses zum Gratis-Download an.
Das heruntergeladene Programm findet sich in einem ZIP-Archiv, und muss nur in einen lokalen Ordner entpackt werden. Dann reicht es, die Datei ExecutedProgramsList.exe aufzurufen und das Ganze per Benutzerkontensteuerung zu bestätigen.
Das Programm listet in einem Fenster die zuletzt ausgeführten Anwendungen auf. Durch Klicken auf die Spaltenköpfe lässt sich die Liste nach diversen Kriterien sortieren. Zudem lässt sich die Liste speichern und es gibt weitere Funktionen wie Kopieren von Einträgen. Bei Bedarf kann man auch Sprachdateien herunterladen, um die Oberfläche in Deutsch anzuzeigen. Der Analyse, was da unter Windows gelaufen ist, steht also nichts mehr im Wege.
Ähnliche Artikel:
Sysinternals: neue Version vom 2. Februar 2016
Sysinternals-Updates für Autoruns, Process Explorer etc.
Neu: Sysinternals-Tool Sysmon zeigt Angriffsspuren
VMLite/VirtualBox und der USB-Support (PSExec)
Windows 10-Reparaturtool FixWin 10
Tool: FolderSecurityViewer überprüft Windows-Freigaben
Windows 10: Tool-Tipp Upgradeblocker 2.2
Neues Microsoft Testtool: Policy Analyzer
Ganz aufschlußreich ist es auch, sich mal in der Ereignisanzeige die Anwendungs- und Dienstprotokolle (Microsoft/Windows) anzuschauen – und nicht nur bei dem Anwendungs- und Systemprotokoll zu bleiben. Dort kommen in kürzester Zeit Einträge im hohen fünstelligen Bereich zusammen und verraten letztlich alles, was unter Windows so alles angestellt wurde. Diese Protokolle aufzuräumen, dauert schon mal so ein bis zwei Stunden.
„Diese Protokolle aufzuräumen, dauert schon mal so ein bis zwei Stunden.“
Man kann die Ereignisprotokolle in einer Minute löschen.
Schau mal hier .
Grüße
Das ist die schnelle Methode :-) Aber ich schaue halt doch gerne erst einmal, was so an Meldungen vorliegt. Das eine oder andere konnte ich damit schon beheben, gerade beim Update mit der 1511er Version waren im Hintergrund doch so einige Rechtevergaben in die Hose gegangen.
Wenn jemand die umfangreichen Tools von NirSoft, Windows SysInternals und ein paar windowseigene Dienste nutzen und einsetzen möchte, empfehle ich das Windows System Control Center (Download unter .
Es fasst die Sammlungen unter einem Dach zusammen und versorgt den Nutzer mit Updates der Tools auf Abruf. Habe es seit knapp drei Jahren in Gebrauch; hilfreich sind für mich besonders die Tools als Favoriten, schnell erreichbar in der Taskleiste.
Leider lässt mein Smart Screen Filter in Windows 10, die Ausführung dieses „Executed Programs List“,nicht zu,darum habe ich es wieder deinstalliert.