So finden Sie heraus, welcher Benutzer eine App unter Windows installiert oder deinstalliert hat
Windows erfasst nahezu jede Aktion, die bei der Nutzung des Betriebssystems stattfindet. Während diese Protokolle für den durchschnittlichen Anwender meist uninteressant sind, stellen sie für die Fehlersuche bei Applikationen oder Problemen mit Prozessabläufen eine wertvolle Informationsquelle dar. Wenn Sie beispielsweise ermitteln möchten, welcher Benutzer eine bestimmte Software unter Windows installiert oder deinstalliert hat, ist das Ereignisprotokoll der richtige Anlaufpunkt. Im Folgenden wird beschrieben, wie Sie vorgehen müssen.
Um die Protokolle einsehen zu können, benötigen Sie Administratorrechte. Klicken Sie dazu mit der rechten Maustaste auf „Dieser PC“ (oder „Arbeitsplatz“ unter Windows 7) und wählen Sie „Verwalten“ aus dem Kontextmenü. Bestätigen Sie die Administratorabfrage, sofern erforderlich. Erweitern Sie anschließend „Systemprogramme“, dann „Ereignisanzeige“, „Windows-Protokolle“ und wählen Sie „Anwendung“ aus. Der Bereich auf der rechten Seite scheint zunächst leer zu sein, während Windows die protokollierten Ereignisse lädt. Es könnte für kurze Zeit so aussehen, als wäre das Fenster eingefroren, aber geben Sie ihm einen Moment. Sobald alle Ereignisse geladen wurden, sehen Sie eine sehr umfangreiche Liste. Diese ist in der Regel zu groß, um sie manuell durchzugehen.
Im Bereich auf der rechten Seite finden Sie unter „Aktionen“ die Option „Aktuelles Protokoll filtern“. Klicken Sie darauf.
Es öffnet sich ein neues Fenster mit dem Titel „Aktuelles Protokoll filtern“. Scrollen Sie hier nach unten zum Dropdown-Menü „Ereignisquellen“ und öffnen Sie dieses. Aktivieren Sie die Option „MsiInstaller“ und klicken Sie anschließend auf „Übernehmen“.
Der „MsiInstaller“ ist ein Dienst, der für die Installation und Deinstallation von Programmen unter Windows zuständig ist. Wenn also ein Benutzer eine App installiert oder deinstalliert hat, sollte dieser Dienst ein entsprechendes Ereignis protokolliert haben. Die gefilterte Ereignisliste enthält nun ausschließlich Informationen zu App-Installationen und -Deinstallationen. Diese Liste ist deutlich kürzer und kann manuell durchsucht werden. Wenn Sie ungefähr wissen, wann eine bestimmte App installiert oder entfernt wurde, können Sie auch einen Datumsbereich über die Dropdown-Liste „Protokolliert“ im Protokollfilter angeben.
Wählen Sie einen Eintrag aus der Liste aus, um detaillierte Informationen zum entsprechenden Ereignis im Bereich darunter anzuzeigen. Hier sehen Sie unter anderem, welche App entfernt wurde, das genaue Datum und die Uhrzeit der Deinstallation, sowie der Benutzer, der diese Aktion durchgeführt hat.
Es ist wichtig zu beachten, dass nicht alle Apps über den MsiInstaller-Dienst installiert werden. Daher werden nicht alle Installations- und Deinstallationsaktivitäten hier protokolliert. Die beschriebene Methode funktioniert unter Windows 7 und neueren Versionen des Betriebssystems.
Aktualisiert: 8. Dezember 2020 um 11:30 Uhr