Zugriff auf Ereignisprotokoll von Internet Explorer wird verweigert

[Richard Schaller]

Hallo Zusammen,

heute habe ich zwei Rechner, die mit Windows 11 21H2 arbeiten, mit der KB5018418 auf Version 22000.1098 aktualisiert.

Nach einem Neustart schaue ich immer in die Ereignisanzeige und dieses Mal habe ich auf beiden Rechnern die gleiche Fehlermeldung: Beim Aufruf der administrativen Ereignisse öffnet sich ein Fenster mit der Meldung, dass der Zugriff auf das Protokoll vom Internet Explorer verweigert wurde. Ich kann sicher sagen, dass das vor der Installation des Updates nicht so gewesen ist.

Kann jemand von Euch diesen Fehler bei sich nachvollziehen? Nachdem ich das auf zwei Rechnern mit gleichem Build habe, glaube ich nicht an einen Konfigurationsfehler.

Wie bringe ich diese Meldung weg? Das Löschen der EVTX-Datei unter "C:\Windows\System32\winevt\Logs" hat nicht geholfen.
Könnte neben dem Löschen der Protokolldatei auch das Entfernen der dazugehörigen Registry-Einträge (nur für das Ereignisprotokoll!) zum Ziel führen? Im Ereignisprotokoll zum Internet Explorer habe ich schon lange keine Einträge mehr angezeigt bekommen. Der IE ist doch in Windows 11 nur noch im Hintergrund aktiv, oder? Ich habe ihn jedenfalls schon unter Windows 10 über die optionalen Features deaktiviert gehabt.

Vielen Dank schon mal!

Beste Grüße,
Richard Schaller

[Tante Google]

[kleinerbub]

Hallo Deskmodder-Community,

ich habe dieselbe Meldung unter einem Win10 21H2 Build 19044.2130. Es betrifft also nicht nur Windows 11. Das Oktoberupdate KB5018482, was dem genannten KB5018418 unter Win 10 entspricht, ist auf diesem System noch nicht installiert.

Der IE ist auf dem Rechner auch noch installiert. Beim Versuch auf das Anwendungsprotokoll "Internet Explorer" zuzugreifen, kommt auf der rechten Seite ebenfalls die Meldung "Zugriff verweigert (5)".

Die entsprechende Protokolldatei "%SystemRoot%\System32\Winevt\Logs\Internet Explorer.evtx" wurde zuletzt vor über einem Jahr geändert und hat eine Größe von 68KB, was für mich nach Standardgröße aussieht. Die Berechtigungen werden vom übergeordneten Ordner Logs vererbt und entsprechen denen von HardwareEvents.evtx (die zwar auch leer ist, aber beim öffnen des Protokolls keinen Fehler verursacht).

Leider habe ich keine Lösung parat.

Viele Grüße
kleinerbub

[Richard Schaller]

Hallo kleinerbub,

vielen Dank für Dein Feedback! Dann sind wir wenigstens schon zu zweit. Ich war schon ganz verzweifelt, weil ich sonst keine Einträge zu diesem Thema gefunden habe.

Ich habe vier Rechner. Auf zwei davon gibt es diese Fehlermeldung, auf den anderen beiden nicht. Ich habe die Berechtigungen im Datei-Explorer wie auch in der Registry für dieses Protokoll verglichen. Es sind überall die gleichen Berechtigungen gesetzt. An fehlenden Berechtigungen liegt es also nicht. Ich habe auf allen vier Geräten den Internet Explorer noch unter Windows 10 über die Windows-Features deaktiviert. Unter Windows 11 gibt es diese Option gar nicht mehr. Scheidet damit für mich als Ursache auch aus.
Bis zum Patchday im Oktober gab es keine Fehlermeldung beim Aufruf der administrativen Ereignisse. Erst seitdem - zumindest bei mir. Seit wann bekommst Du diese Meldung angezeigt?

Nun müsste man Gemeinsamkeiten herausfinden, um die Ursache eingrenzen zu können. Ob die Meldung durch irgendeine Konfigurationsänderung eliminiert werden kann, wage ich nicht zu beurteilen. Bevor ich diese Fehlermeldung angezeigt bekommen habe, habe ich ja auch keine Änderungen vorgenommen, außer eben die Updates für Windows installiert.

Offensichtlich tritt der Fehler nur bei wenigen Benutzern auf. Sonst müsste man wohl mehr Einträge auf Google finden.
Was könnte nur die Ursache dafür sein, dass die Ereignisanzeige nicht auf das Protokoll des Internet Explorers zugreifen kann?
Ob eventuell der nächste Patchday in der kommenden Woche die Lösung bringt? Ich werde jedenfalls deswegen nicht den Rechner neu aufsetzen.

Es gäbe noch das Kommandozeilen-Tool "wevtutil", doch wüsste ich nicht, wie ich darüber das Ereignisprotokoll vom IE zurücksetzen könnte.

Mal abwarten.

Nochmals Danke für die Rückmeldung!

Beste Grüße,
Richard Schaller

[Richard Schaller]

Finde beim Googeln gerade folgenden Eintrag: "Internet-Explorer-Ereignisprotokoll gefährdet aktuelle Windows-Betriebssysteme" https://netzpalaver.de/2022/10/25/inter ... bssysteme/

Zitat:
"Mit dem Microsoft-Patch-Tuesday-Update vom 11. Oktober 2022 wurde die Standardberechtigungseinstellung, die nichtadministrativen Benutzern den Zugriff auf das Internet-Explorer-Ereignisprotokoll auf Remote-Rechnern ermöglichte, auf lokale Administratoren beschränkt, wodurch das Schadenspotenzial erheblich reduziert wurde."

Mmm, die beiden Rechner, die es bei mir betrifft, sind Bestandteil einer Domäne. Ich habe aber für meinen Account administrative Rechte, gehöre also zur Gruppe "Client_lokale_Admins". Könnte mal testweise meinen Account explizit zur Gruppe "Administratoren" hinzufügen.
Mal sehen, ob das etwas bringt.

[DK2000]

Du hat aber die Ereignisanzeige bei den betroffen Rechen mit dem lokalen Admin aufgerufen? Also kein Remotezugriff und kein Domänen-Konto?

[Richard Schaller]

Du hat aber die Ereignisanzeige bei den betroffen Rechen mit dem lokalen Admin aufgerufen? Also kein Remotezugriff und kein Domänen-Konto?

Das ist genau der springende Punkt! Ich bin normalerweise mit einem Domänenkonto an den betroffenen Rechnern angemeldet, das allerdings über administrative Rechte verfügt. Nun habe ich testweise das lokale Admin-Konto verwendet und siehe da, der Fehler beim Aufrufen des Ereignisprotokolls vom Internet Explorer tritt NICHT auf!!!

Das erklärt auch, warum ich zuhause auf meinen Privatrechnern den Fehler nicht reproduzieren kann. Microsoft hat also am Oktober-Patchday die Zugriffsberechtigung für genau diese eine Protokolldatei geändert, ohne das groß publik zu machen.

Dann wird auch der nächste Patchday nichts daran ändern. Wäre es da nicht eleganter gewesen, die Protokolldatei samt dem zugehörigen Registryschlüssel zu entfernen und den Filter in der XML-Datei für die "Administrativen Ereignisse" entsprechend anzupassen? Ich kann mich nicht erinnern, ob in diesem Protokoll je Einträge gestanden wären, dürfte also nach meinem Verständnis ohnehin überflüssig sein. Oder sehe ich das falsch?

[DK2000]

Ich weiß auch nicht, ob das Protokoll noch benötigt wird oder nicht bzw. ob da jemals etwas drin stand. Bei mir ist es jedenfalls leer.

Wäre eventuell besser gewesen, wenn Microsoft mit dem letzten Update nicht nur den Zugriff auf das Protokoll geändert hat, sondern in gleichen Zuge auch den Filter für "Administrative Ereignisse" anzupassen und dort das Protokoll zu löschen. So führt das jetzt erst einmal zu dem von Dir beschriebenen Problem.