Skip to content
evtxparser
DFIROpen Source · läuft zu 100 % im Browser

EVTX parser — Windows-Ereignisprotokoll-Viewer im Browser

Ziehe ein Windows .evtx-Ereignisprotokoll hierher. Die Analyse läuft komplett im Browser über WebAssembly — es wird nichts hochgeladen.

So bekommst du deine .evtx-Dateien

Noch nie Ereignisprotokolle von einem Windows-Rechner geholt? Nimm die erste Methode, die für dich passt – das dauert eine Minute.

  1. Die .evtx-Dateien sichern
  2. Hier ablegen (auch mehrere auf einmal)
  3. Alles bleibt in deinem Browser

Als Administrator auf dem Windows-Rechner ausführen (Rechtsklick auf PowerShell oder Eingabeaufforderung → Als Administrator ausführen). Das Sicherheitsprotokoll lässt sich nur mit Adminrechten lesen.

Die wichtigsten Protokolle auf einen Schlag exportieren

PowerShell (Admin)
New-Item -ItemType Directory -Force C:\triage | Out-Null; foreach ($c in 'Security','System','Application','Microsoft-Windows-PowerShell/Operational','Microsoft-Windows-Sysmon/Operational') { wevtutil epl $c "C:\triage\$($c -replace '/','%4').evtx" /ow:true }

Schreibt die Protokolle Security, System, Application, PowerShell und Sysmon nach C:\triage\. Fehlt ein Protokoll auf dem Rechner (z. B. Sysmon nicht installiert), erscheint nur eine Fehlermeldung – einfach ignorieren. Danach die Dateien aus C:\triage\ hier ablegen.

Nur das Sicherheitsprotokoll

cmd (Admin)
mkdir C:\triage 2>nul & wevtutil epl Security C:\triage\Security.evtx /ow:true

Keine Kommandozeile? Nimm die Ereignisanzeige

eventvwr.msc starten → Windows-Protokolle → Rechtsklick auf Sicherheit (oder ein anderes Protokoll) → „Alle Ereignisse speichern unter…“ (Save All Events As…) → Dateityp „Ereignisdateien (*.evtx)“ beibehalten → Speichern.

Stolperfallen

  • Ein einfaches Kopieren eines aktiven Protokolls schlägt fehl, weil Windows es geöffnet hält – nimm eine der Methoden oben, nicht den Explorer oder copy.
  • Protokolle sind zirkulär: Sind sie voll, werden die ältesten Ereignisse überschrieben (die Standardgröße liegt oft bei nur 20 MB). Früh sichern und auch die Archive-*.evtx mitnehmen – wevtutil epl exportiert nur das aktive Protokoll.
  • Lege .evtx-Dateien ab, kein .zip und keinen Ordner: erst entpacken, dann alle .evtx-Dateien markieren. Zeiten werden standardmäßig in UTC angezeigt (im Viewer auf Ortszeit umschaltbar).
Sicherungsleitfaden: 4 Methoden im Vergleich →
Liest jeden Kanal, den Sie sichern
  • Security
  • System
  • Sysmon
  • PowerShell
  • RDP
  • Defender
  • Task Scheduler
  • WMI
  • Application

Was ist eine EVTX-Datei?

Eine .evtx-Datei ist ein Windows-Ereignisprotokoll — das Binärformat, mit dem Windows seit Vista Sicherheits-, System- und Anwendungsereignisse aufzeichnet. Sie liegen unter C:\Windows\System32\winevt\Logs (Security.evtx, System.evtx, Application.evtx…) und sind kein Klartext — Notepad kann sie nicht lesen. Legen Sie oben eine Datei ab, um sie anzuzeigen. Ausführlicher Leitfaden zum EVTX-Format →

Gebaut für Incident Response

Von der rohen .evtx zu Befunden in Minuten

Alles, was DFIR-Analysten brauchen — ohne Ereignisanzeige, Python oder SIEM zu installieren.

  • Hunts und Sigma-Regeln beim Öffnen

    86 eingebaute Hunts plus 2395 Sigma-Regeln von SigmaHQ — Kerberoasting, Log-Löschung, PowerShell-Cradles, neue Dienste, Brute Force — laufen sofort beim Laden.

  • Eine Abfragesprache für Analysten

    Feld:Wert, Wildcards, Anführungszeichen und Negation über alle EventData-Felder, mit Facetten und Sortierung nach seltenen Werten.

  • Pivots mit einem Klick

    Von jedem Ereignis zur gleichen Logon-ID, Prozess-GUID, zum Elternprozess oder in ein ±5-Minuten-Fenster.

  • Anmeldesitzungen rekonstruiert

    Wer sich wie und von wo angemeldet hat, mit welchen Rechten und was passiert ist — 4624 bis 4634, eine Zeile pro Sitzung.

  • Notizen und Markdown-Bericht

    Ereignisse markieren und kommentieren, einen sauberen Bericht exportieren oder eine gefilterte Ansicht als Link teilen.

  • Offline und Open Source

    Läuft air-gapped in Docker, Elastic License 2.0, prüfbarer Rust-Parser auf GitHub.

    $ docker run --rm -p 3000:3000 evtx-parser
integrierte Hunting-Regeln
86
Bytes hochgeladen
0
Parser, kompiliert zu WebAssembly
Rust
Sprachen
8

Wo liegen die .evtx-Dateien?

Auf dem Quellsystem ist jeder Ereignisprotokoll-Kanal eine eigene .evtx-Datei, alle im selben Ordner. Die Pfade gehen vom Standard-Windows-Ordner C:\Windows (%SystemRoot%) aus.

  • Protokollordner — alle KanäleWindows Vista / Server 2008+C:\Windows\System32\winevt\Logs\
  • SecurityC:\Windows\System32\winevt\Logs\Security.evtx
  • SystemC:\Windows\System32\winevt\Logs\System.evtx
  • ApplicationC:\Windows\System32\winevt\Logs\Application.evtx
  • SysmonC:\Windows\System32\winevt\Logs\Microsoft-Windows-Sysmon%4Operational.evtx
  • PowerShell (4103/4104)C:\Windows\System32\winevt\Logs\Microsoft-Windows-PowerShell%4Operational.evtx
  • Windows PowerShell (400/600/800)C:\Windows\System32\winevt\Logs\Windows PowerShell.evtx
  • RDP — LocalSessionManagerC:\Windows\System32\winevt\Logs\Microsoft-Windows-TerminalServices-LocalSessionManager%4Operational.evtx
  • RDP — RemoteConnectionManagerC:\Windows\System32\winevt\Logs\Microsoft-Windows-TerminalServices-RemoteConnectionManager%4Operational.evtx
  • Task SchedulerC:\Windows\System32\winevt\Logs\Microsoft-Windows-TaskScheduler%4Operational.evtx
  • DefenderC:\Windows\System32\winevt\Logs\Microsoft-Windows-Windows Defender%4Operational.evtx
  • Archivierte Protokolle (Archive-<Kanal>-<Zeitstempel>.evtx, wenn automatische Archivierung aktiv ist)C:\Windows\System32\winevt\Logs\Archive-Security-*.evtx
  • Altes .evt-Format (auch AppEvent.Evt, SysEvent.Evt) — hier nicht unterstütztWindows XP / Server 2003C:\Windows\System32\config\SecEvent.Evt

So kommen Sie an die Datei

  • Der EventLog-Dienst hält aktive Protokolle geöffnet, ein normales Kopieren schlägt fehl. In einer Admin-Shell exportiert wevtutil epl Security C:\triage\Security.evtx eine saubere Kopie (nur das aktive Protokoll — Archive-*-Dateien fehlen).
  • Den ganzen Ordner unverändert sichern: KAPE (--target EventLogs), FTK Imager oder RawCopy — oder offline aus einem eingebundenen E01-Image bzw. einer Schattenkopie (VSS) lesen.
  • Jede .evtx ist eigenständig, Begleitdateien sind nicht nötig. Kanäle können umgeleitet sein: den tatsächlichen Pfad mit wevtutil gl <Kanal> (logFileName) prüfen.
Sicherungsleitfaden: 4 Methoden im Vergleich →
DFIR

Ausgewählte Guides

Ein kostenloser Online-EVTX-Viewer, der in Ihrem Browser läuft

EVTX parser ist ein Online-EVTX-Viewer und Parser für Windows-Ereignisprotokolle. Öffnen Sie eine .evtx-Datei — Security.evtx, System.evtx, Application.evtx, Sysmon- oder PowerShell-Kanäle — und lesen Sie jeden Datensatz ohne Event Viewer, ohne Installation und ohne Windows-Host.

Das Parsen läuft vollständig clientseitig über einen in WebAssembly kompilierten Rust-Parser, sodass Ihre Protokolle den Browser nie verlassen. Filtern Sie nach Event ID, Anbieter, Kanal oder Zeit, untersuchen Sie das rohe Ereignis-XML und exportieren Sie die Ergebnisse mit wenigen Klicks nach CSV, JSON oder XML. Sie können jetzt mehrere .evtx-Dateien gleichzeitig öffnen und in einer kombinierten Ansicht triagieren.

Weiterlesen:EVTX in XMLEVTX in CSVEVTX in TXTEVTX in JSONEVTX auf Mac & Linuxevtx_dump onlineSecurity.evtx öffnenSystem.evtx öffnenWindows-Event-ID-EnzyklopädieEVTX-Tools im Vergleich

FAQ zum Ereignisprotokoll

Was ist eine EVTX-Datei?
EVTX ist das binäre Windows-Ereignisprotokollformat, das mit Windows Vista eingeführt wurde. Jede .evtx-Datei besteht aus 64 KB-Blöcken; jeder Block enthält eine XML-Vorlagen-Tabelle und einen Strom von Datensätzen, die darauf verweisen. Die Analyse rekonstruiert das vollständige XML jedes Ereignisses.
Wo liegen .evtx-Dateien unter Windows?
Aktive Protokolle liegen unter C:\Windows\System32\winevt\Logs. Die forensisch wichtigsten sind Security.evtx (Anmeldungen, Privilegien), System.evtx (Treiber, Dienste) und Application.evtx (Anwendungsfehler). Sysmon- und PowerShell-Kanäle sind bei Incident Response besonders wertvoll.
Wird meine .evtx irgendwohin hochgeladen?
Nein. Die Analyse läuft in einem Web Worker mit einem in Rust geschriebenen EVTX-Parser, der zu WebAssembly kompiliert wurde. Die Datei wird im Browser-Speicher gelesen und nie übertragen. Trenne das Netzwerk, wenn du es überprüfen möchtest.
Kann das Tool Sigma-Regeln auf .evtx-Dateien ausführen?
Ja. Der Sigma-Tab führt rund 2.400 Windows-Regeln von SigmaHQ (ein fest eingebundenes Release) auf den geladenen Ereignissen aus, im Web Worker des Browsers — wie Hayabusa oder Chainsaw, ohne Installation. Regeln für Prozesserstellung greifen auf Sysmon Event ID 1 und auf Security 4688. Eigene Sigma-Regeln in YAML können Sie einfügen oder ablegen: Sie werden lokal geprüft und ausgeführt, nie hochgeladen. Treffer und CSV/JSON-Exporte nennen den Autor jeder Regel, wie es die Detection Rule License 1.1 verlangt.
Was bedeutet die Spalte Stufe?
EVTX-Stufen sind numerisch: 1 Kritisch, 2 Fehler, 3 Warnung, 4 Information, 5 Ausführlich. Microsoft setzt einige bekannte IDs (z. B. Security 4625 = fehlgeschlagene Anmeldung auf Information) — die Stufe allein ist kein Triage-Signal.
Kann das Tool sehr große .evtx-Dateien verarbeiten?
Die Analyse läuft in einem Web Worker. Der Speicher skaliert mit der Dateigröße; einige hundert MB sind in modernen Browsern komfortabel. Für größere Sammlungen exportiere zuerst mit evtx_dump und lade in Abschnitten neu.

Ihre nächste Untersuchung beginnt mit einem Drop.

Kostenlos, Open Source und privat by Design. Kein Konto, kein Upload, keine Installation.

Auf GitHub ansehen