ETW-Autologger in Windows 11: Was tatsächlich auf die Festplatte geschrieben wird

Kurze Antwort

In einem sauberen Windows 11 26H2 sind 39 ETW-Autologger-Sitzungen registriert, 19 sind aktiviert, aber tatsächlich schreiben ab dem Start nur 9 auf die Festplatte. Weitere 3 leben in einem Ringpuffer im Arbeitsspeicher (null Festplattenkosten), 5 arbeiten in Echtzeit ohne Datei, und 2 Defender-Sitzungen starten faktisch nicht. Der Hauptgenerator von Ereignissen ist Diagtrack-Listener: etwa 110 MB Ereignisse in 2 Stunden bei laufendem Telemetrie-Dienst. Von den 32 MB, die von Autologger-Dateien belegt werden, sind 28 MB vorab reservierte Platzhalter.

Status: Der Katalog wurde durch statisches Lesen der Registry zusammengestellt; der tatsächliche Zustand wurde per Backup snapshot 2 Stunden nach dem Start überprüft. Ein Build, eine virtuelle Maschine; die Übertragung auf andere Konfigurationen (Notebooks mit WiFi, Systeme mit ReFS) verändert die Zusammensetzung der aktiven Dateien.

Überprüfbare Aussage

Wir haben drei Aussagen überprüft:

1. „Autologger abschalten“ ist eine einzige, verständliche Operation, und die Zusammensetzung der aktiven Sitzungen ist klein.
2. Autologger-Dateien belegen erheblichen Platz.
3. Diagnose-Traces erzeugen im Leerlauf einen merklichen Ereignisstrom.

Untersuchungsbereich

• Windows 11 Pro, build 26300.9457 (26H2), virtuelle Maschine ohne WiFi-Modul;
• Registry-Schlüssel Autologger: alle 39 Sitzungen, ihre Start-Flags, Dateimodi und verbundenen Provider;
• tatsächlicher Zustand der Sitzungen und Dateien 2 Stunden nach dem Start eines sauberen Systems;
• 1115 registrierte ETW-Provider und 1049 Einträge „Provider in Sitzung“.

Nicht überprüft: andere Builds, Maschinen mit Funkmodulen, ReFS-Volumes und RDP-Last; das Verhalten der Sitzungen bei abgeschalteter Telemetrie über ein längeres Fenster.

Methodik

Der Sitzungskatalog wurde aus der Registry-Konfiguration Autologger zusammengestellt: Start-Flag, Dateimodus, Limits und Provider. Der tatsächliche Zustand wurde 2 Stunden nach dem Start abgeglichen: gestartete Sitzungen, belegte Puffer und Dateigrößen. Die Schätzung des Ereignisvolumens von Diagtrack-Listener wurde anhand der Anzahl geschriebener Puffer ermittelt.

Ergebnisse

Zusammensetzung der Autologger

Kategorie	Sitzungen
Insgesamt registriert	39
Laut Registry aktiviert (Start=1)	19
Davon tatsächlich gestartet	17
Schreiben ab dem Start auf die Festplatte	9
Leben im Arbeitsspeicher (Pufferung)	3
Echtzeit ohne Datei	5
Konfiguration ohne Start-Wert (starten nicht)	3

Zwei Defender-Sitzungen, die laut Registry aktiviert sind, starten faktisch nicht: Der Schutz ersetzt sie durch eine eigene Sitzung mit geringeren Rechten.

Neun Dateisitzungen: wer und wie viel

Sitzung	Zweck	Belegt	Besonderheit
Diagtrack-Listener	Telemetrie-Empfänger	keine Datei bei laufendem Dienst	etwa 110 MB Ereignisse in 2 Stunden gehen an den Telemetrie-Dienst
NetCore	Diagnose des Netzwerk-Stacks	22 MB	vorab reservierte Datei; etwa 2.5 MB Ereignisse geschrieben
RadioMgr	Zustand der Funkmodule	6 MB	vorab reserviert; auf einer Maschine ohne WiFi eine Platzhalterdatei
WdiContextLog	Diagnose von Start und PnP	2.2 MB	Rotation pro Start
NtfsLog	NTFS-Tracing	1.7 MB	Rotation über 8 Dateien; einziger merklicher Strom nach DiagTrack
WiFiSession	WLAN-Diagnose	80 KB	ohne WiFi fast leer
LwtNetLog	Netzwerk-Diagnose	64 KB
RdpIdd-Trace	RDP-Grafik	64 KB
ReFSLog	ReFS-Tracing	4 KB	ohne ReFS-Volumes wird nicht geschrieben

Insgesamt belegen die Dateien der aktiven Autologger 32 MB, davon sind 28 MB die Vorabreservierung von NetCore und RadioMgr: Dateien dieser Größe existieren immer, unabhängig vom tatsächlichen Ereignisvolumen.

Diagtrack-Listener: schwerer Strom ohne Datei

Solange der Telemetrie-Dienst läuft, fängt er die Sitzung in Echtzeit ab: Es gibt keine Datei, aber der Ereignisstrom verschwindet nicht — etwa 110 MB in 2 Stunden. In die Sitzung sind 254 Provider eingebunden, bei den meisten ist die maximale Aufzeichnungsstufe aktiviert. Schaltet man den Telemetrie-Dienst ab, schreibt der Autologger weiter in eine Datei ohne Abnehmer — deshalb muss man ihn zusammen mit dem Dienst abschalten.

Stufen und Provider

Die Aufzeichnungsstufe wird nicht an der Sitzung, sondern an den Providern festgelegt. Von 1115 registrierten Providern kommen 607 in keinem Autologger vor — sie werden nur in Runtime-Sitzungen eingebunden. Von 1049 Einträgen „Provider in Sitzung“ sind 425 GUIDs ohne registrierte Namen, überwiegend szenariobezogene Telemetrie-Identifikatoren.

Was bestätigt wurde

• Beobachtet: 39 Sitzungen in der Registry, 19 aktiviert, 17 tatsächlich gestartet, 9 schreiben auf die Festplatte.
• Gemessen: Die Dateien der aktiven Autologger belegen 32 MB; 28 MB davon sind die Vorabreservierung von NetCore und RadioMgr.
• Gemessen: Diagtrack-Listener schreibt etwa 110 MB Ereignisse in 2 Stunden bei laufendem Telemetrie-Dienst.
• Beobachtet: Zwei Defender-Sitzungen starten nicht, weil der Schutz sie ersetzt.

Was nicht bestätigt wurde

• Zusammensetzung und Volumina auf anderen Builds und Konfigurationen (WiFi, ReFS, RDP-Last).
• Langfristiges Wachstum der Rotationsdateien über viele Starts hinweg.
• Der Einfluss des Abschaltens einzelner Sitzungen auf die Diagnostizierbarkeit von Problemen: Wir haben in dieser Untersuchung keine Sitzungen abgeschaltet.

Einschränkungen

Ein Backup snapshot 2 Stunden nach einem Start; Nacht- und Wartungsfenster sind nicht abgebildet. Die Schätzung des Volumens von Diagtrack-Listener erfolgt anhand der Puffer, nicht anhand der Datei. Vorab reservierte Dateien existieren immer, aber ihre Größe ist keine Messung des „geschriebenen“ Volumens.

Praktische Schlussfolgerung

Ein pauschales „alle Autologger abschalten“ ergibt keinen Sinn: Die meisten Sitzungen schreiben ohnehin nicht auf die Festplatte, und die drei wirklich schweren Quellen sind punktuell. Wenn das Ziel darin besteht, Telemetrie zu reduzieren, schalten Sie Diagtrack-Listener zusammen mit dem Telemetrie-Dienst ab: In BoosterX erledigt das die Einstellung „Hintergrund-ETW-Autologger“. Wenn das Ziel Speicherplatz auf der Festplatte ist, berücksichtigen Sie, dass 28 MB von 32 die Vorabreservierung zweier Dateien sind und keine wachsenden Logs. Den diagnostischen Wert der übrigen Dateisitzungen (NTFS, WDI, Netzwerk) würden wir höher einschätzen als ihren Festplattenpreis.

Wiederherstellung des Zustands

Die Untersuchung ist rein beobachtend: Keine Sitzung wurde abgeschaltet oder verändert. Das System blieb im Ausgangszustand.

Quellen und Grenzen

Der Katalog wurde von BoosterX Research auf der beschriebenen virtuellen Maschine zusammengestellt. Die Untersuchung gehört dem Entwickler von BoosterX, der Entwickler hat ein direktes Interesse am Ergebnis; Methodik und Einschränkungen sind oben beschrieben.

• Microsoft: Configuring and Starting an Autologger Session, überprüft am 2026-09-22.
• Microsoft: Event Tracing, überprüft am 2026-09-22.

Letzte Überprüfung: 2026-09-22.