ProcDump Anleitung: Crash Dumps und CPU-Spitzen erfassen

Das Programm verschwindet ohne brauchbare Fehlermeldung – oder es hängt sich genau dann auf, wenn Du eine Datei speichern willst. Nach einem Neustart läuft zunächst wieder alles, bis der Fehler erneut auftaucht. Diese ProcDump-Anleitung zeigt Dir, wie Du den entscheidenden Moment festhältst und so eine genauere Fehleranalyse möglich machst.

ProcDump ist ein Diagnosewerkzeug aus Microsoft Sysinternals, mit dem sich Speicherabbilder einzelner Prozesse erstellen lassen. Bei einem typischen Anwendungsabsturz überwachst Du den betroffenen Prozess mit -e und speicherst mit -ma dessen vollständigen Prozessspeicher. Die dabei entstehende DMP-Datei kannst Du anschließend mit WinDbg untersuchen oder an den zuständigen Softwaresupport weitergeben.

Wann hilft ProcDump bei Windows-Problemen?

ProcDump lohnt sich besonders bei Fehlern, die unregelmäßig auftreten oder sich mit einer gewöhnlichen Fehlermeldung nicht erklären lassen. Du kannst eine Anwendung bereits vor dem nächsten Vorfall überwachen und die Aufnahme durch ein bestimmtes Ereignis auslösen lassen. Dazu gehören unbehandelte Ausnahmen, nicht reagierende Programmfenster sowie auffällige CPU- oder Speicherwerte.

Ein Speicherabbild hält den Zustand des ausgewählten Prozesses genau zum Zeitpunkt der Aufnahme fest. Dazu können Speicherinhalte, Informationen zu Ausführungssträngen und geladene Programmmodule gehören. Es ist also eine Momentaufnahme, anhand derer sich zum Beispiel blockierte Abläufe oder der Zusammenhang einer Ausnahme untersuchen lassen.

Für eine andere Frage eignet sich ein anderes Werkzeug: Möchtest Du nachvollziehen, welche Datei eine Anwendung öffnet oder welcher Registry-Zugriff scheitert, kannst Du Datei- und Registry-Zugriffe mit Process Monitor aufzeichnen. ProcDump ergänzt diese Untersuchung um den Speicherzustand. Eine automatische Reparatur führt es nicht durch.

ProcDump vorbereiten: Download, Ordner und Berechtigungen

Die aktuelle Windows-Ausgabe von ProcDump ist für Windows 11 und Windows Server ab 2016 vorgesehen. Du kannst ProcDump herunterladen und die ZIP-Datei vollständig entpacken, beispielsweise nach C:\Tools\ProcDump. Die folgenden Beispiele verwenden die darin enthaltene procdump.exe und werden in PowerShell ausgeführt.

PowerShell öffnen und den Zielordner anlegen

1. Öffne zunächst das Startmenü und suche nach PowerShell.
2. Wähle dann bei Bedarf „Als Administrator ausführen“. Für die Untersuchung eines Dienstes oder eines Prozesses in einem anderen Benutzerkontext ist das häufig erforderlich.
3. Wechsle anschließend in den entpackten ProcDump-Ordner und lege einen eigenen Ordner für die Aufnahmen an.

Set-Location "C:\Tools\ProcDump"
New-Item -ItemType Directory -Path "C:\Dumps" -Force

Prüfe vor der ersten Aufnahme, ob auf dem Ziellaufwerk ausreichend Platz vorhanden ist. Ein vollständiges Speicherabbild kann mehrere Gigabyte groß werden, und mehrere Aufnahmen benötigen entsprechend mehr Platz. Auf einem produktiven Server solltest Du insbesondere verhindern, dass das Systemlaufwerk durch die Diagnose vollläuft.

Mit .\procdump.exe -? kannst Du die integrierte Hilfe aufrufen und prüfen, ob sich das Werkzeug starten lässt. Akzeptiere beim ersten Start die Lizenzbedingungen, sofern Du damit einverstanden bist. Das vorangestellte .\ bedeutet in PowerShell, dass die Programmdatei im aktuellen Ordner liegt.

Datenschutz: Was kann in einem Speicherabbild stehen?

Ein Dump kann vertrauliche Inhalte aus dem Speicher der Anwendung enthalten – je nach Programm zum Beispiel geöffnete Dokumente, Nachrichten, personenbezogene Daten oder Anmeldeinformationen. Behandle die DMP-Datei deshalb wie eine vertrauliche Diagnosedatei und nicht wie ein gewöhnliches Fehlerprotokoll.

Öffne die Eigenschaften Deines Dump-Ordners und schau unter „Sicherheit“ nach, wer darauf zugreifen darf. Ein neu angelegter Ordner ist nämlich nicht automatisch nur für Dich zugänglich. Für die Untersuchung solltest Du einen passend beschränkten lokalen Speicherort verwenden – und bei Firmendaten vorab klären, wer die Aufnahmen erhalten darf.

Übertrage Dumps ausschließlich über einen abgesicherten Weg, den Du mit dem Empfänger vereinbart hast. Öffentlich erreichbare Uploads oder frei geteilte Cloudlinks sind dafür ungeeignet. Lösche die Dateien nach Abschluss der Untersuchung gemäß den geltenden Aufbewahrungsvorgaben. Und denk daran: Auch ein kleiner Dump ist keine Garantie für Anonymisierung.

Den richtigen Prozess und seine PID finden

Öffne mit Strg + Umschalt + Esc den Task-Manager und wechsle zu „Details“. Dort findest Du den Dateinamen des Prozesses und seine PID, also die Prozess-ID. Falls die PID-Spalte fehlt, kannst Du sie über die Spaltenauswahl einblenden.

Bei mehreren gleichnamigen Prozessen ist die PID besonders wichtig. Ein Browser, eine Anwendung mit Hilfsprozessen oder mehrere gestartete Programminstanzen lassen sich anhand des Namens allein nicht zuverlässig zuordnen. Wenn Du dabei Unterstützung brauchst, kannst Du laufende Prozesse mit Process Explorer untersuchen und den passenden Prozess genauer bestimmen.

In den Beispielen steht 1234 für die PID Deines Zielprozesses. MeinProgramm.exe ist ebenfalls ein Platzhalter, den Du durch den tatsächlichen Dateinamen ersetzt. Nach einem Neustart der Anwendung musst Du die PID neu prüfen, weil sie sich ändern kann.

ProcDump Crash Dump erstellen: Anwendung stürzt ab

Bei einem Absturz durch eine unbehandelte Ausnahme ist die folgende Aufnahme ein guter Einstieg. Richte sie auf den Prozess, den Du zuvor ausgewählt hast und der bereits läuft, und löse den Fehler dann erneut aus. Verlangt das Supportteam eine andere Dump-Art, passt Du die Aufnahme entsprechend an.

.\procdump.exe -ma -e -n 1 1234 C:\Dumps

1. Ersetze 1234 durch die ermittelte Prozess-ID und führe den Befehl aus.
2. Prüfe in der Startausgabe von ProcDump, ob der richtige Prozess und der gewünschte Zielordner angezeigt werden.
3. Lass das PowerShell-Fenster geöffnet und führe in der Anwendung die Schritte aus, bei denen der Fehler auftritt.
4. Warte nach dem Absturz, bis ProcDump das erfolgreiche Schreiben der Aufnahme bestätigt.
5. Kontrolliere im Ordner C:\Dumps, ob die DMP-Datei vorhanden ist, und notiere die Uhrzeit sowie den auslösenden Arbeitsschritt.

Die Option -n 1 begrenzt diesen Durchlauf auf eine Aufnahme. Bleibt der Prozess ohne passende Ausnahme aktiv, wartet ProcDump weiter. Das ist in diesem Fall das gewünschte Verhalten und noch kein Hinweis auf einen Fehler.

Auf den nächsten Programmstart warten

Manchmal stürzt eine Anwendung so schnell ab, dass Du ihre PID kaum rechtzeitig nachschlagen kannst. Dann kannst Du ProcDump zuerst starten und mit -w auf den passenden Prozess warten lassen. Öffne danach die Anwendung wie gewohnt.

.\procdump.exe -ma -e -n 1 -w MeinProgramm.exe C:\Dumps

Läuft bereits ein passender Prozess, kann ProcDump ihn direkt übernehmen. Wenn Du ausdrücklich den nächsten Start der Anwendung untersuchen möchtest, schließt Du sie vorher am besten regulär. Bei mehreren Instanzen mit demselben Namen ist es zuverlässiger, die Auswahl über eine konkrete PID festzulegen.

Die Anwendung direkt über ProcDump starten

Für Fehler unmittelbar beim Programmstart kannst Du die EXE mit -x direkt unter ProcDump starten. Hinter diesem Parameter steht zuerst der Ausgabeordner und danach der vollständige Programmpfad. Anführungszeichen sind bei Pfaden mit Leerzeichen erforderlich.

.\procdump.exe -ma -e -n 1 -x "C:\Dumps" "C:\Program Files\Hersteller\MeinProgramm.exe"

Startest Du die Anwendung aus einer erhöhten PowerShell, übernimmt sie deren Berechtigungskontext – ihr Verhalten kann sich dadurch vom gewöhnlichen Start unterscheiden. Soll ein Fehler unter normalen Anwenderrechten untersucht werden, ist es oft passender, mit -w zu warten und die Anwendung anschließend ganz normal zu starten.

Warum Du nicht sofort „-e 1“ verwenden solltest

-e 1 berücksichtigt zusätzlich sogenannte First-Chance-Ausnahmen. Das sind Ausnahmen, die eine Anwendung anschließend noch selbst behandeln kann. Ihr Auftreten bedeutet deshalb nicht automatisch, dass das Programm abstürzt.

Bei einer Begrenzung auf eine Aufnahme kann damit schon ein erwartetes Ereignis den einzigen Dump auslösen. Für die gewöhnliche Absturzsuche beginnst Du daher mit -e ohne die zusätzliche Zahl. First-Chance-Aufnahmen sind eher dann sinnvoll, wenn die untersuchte Ausnahme bekannt ist und sich passend eingrenzen lässt.

ProcDump bei eingefrorenen Anwendungen verwenden

Bei einer Anwendung mit nicht reagierendem Fenster ist -h der passende Auslöser. ProcDump löst eine Prozessaufnahme aus, wenn ein Fenster mindestens ungefähr fünf Sekunden lang keine Fensternachrichten verarbeitet. Das passt zu vielen Fällen, in denen Windows „Keine Rückmeldung“ anzeigt.

.\procdump.exe -ma -h -n 1 1234 C:\Dumps

Dieser Parameter prüft, ob Fenster noch reagieren. Für einen festgefahrenen Hintergrunddienst ohne passende Oberfläche taugt er deshalb nicht als allgemeine Hängererkennung. Und auch bei einer Anwendung, deren Oberfläche noch reagiert, während intern ein Auftrag feststeckt, muss dieser Auslöser nicht unbedingt anschlagen.

Den aktuellen Zustand sofort sichern

Wenn das Problem bereits besteht, kannst Du den momentanen Zustand direkt aufnehmen. Dafür lässt Du den automatischen Auslöser weg. Die Aufnahme ist besonders dann hilfreich, wenn Du den Hänger selbst beobachten kannst.

.\procdump.exe -ma 1234 C:\Dumps

Beende die betroffene Anwendung erst, nachdem die Datei vollständig geschrieben wurde. Sonst kann genau der Zustand verloren gehen, den Du untersuchen möchtest. Plane außerdem ein, dass die Erfassung den Zielprozess vorübergehend anhalten und den Datenträger belasten kann.

Drei Aufnahmen mit zeitlichem Abstand erstellen

Bei einem Stillstand, der länger anhält, können mehrere Speicherabbilder mehr bringen als eine einzelne Aufnahme. Im Vergleich siehst Du dann besser, ob Ausführungsstränge immer wieder an derselben Stelle hängen bleiben oder sich der Ablauf verändert. Eine kleine Serie erstellst Du zum Beispiel so:

.\procdump.exe -ma -n 3 -s 5 1234 C:\Dumps

Ohne zusätzlichen Schwellenwert dient -s 5 hier als Zeitabstand zwischen den Aufnahmen. Die tatsächliche Gesamtdauer hängt auch davon ab, wie lange das Schreiben der Dateien dauert. Diese Serie eignet sich für ein bereits sichtbares Problem und läuft unabhängig von einer bestimmten CPU-Auslastung.

CPU-Spitzen mit ProcDump automatisch erfassen

Für hohe Prozessorauslastung kombinierst Du einen CPU-Schwellenwert mit einer Mindestdauer. Beobachte vorher den CPU- und Speicherverbrauch im Ressourcenmonitor, damit Du einen passenden Wert auswählst. Ein willkürlich hoher Grenzwert kann dazu führen, dass der auffällige Zustand überhaupt nicht erfasst wird.

.\procdump.exe -ma -c 80 -s 5 -n 3 1234 C:\Dumps

Dieses Beispiel überwacht die CPU-Auslastung des ausgewählten Prozesses: Sie muss fünf Sekunden in Folge über 80 Prozent liegen, damit eine Aufnahme ausgelöst wird. ProcDump erstellt dann höchstens drei Dumps – vorausgesetzt, die Bedingung ist entsprechend erfüllt und der Prozess läuft weiter.

Anders als bei der vorherigen Zeitserie bedeutet -s 5 hier also nicht „alle fünf Sekunden ein Dump“, sondern eine anhaltende Überschreitung der Schwelle. Sehr kurze Spitzen, die diese Dauer nicht erreichen, erfasst dieses Beispiel nicht.

CPU-Auslastung auf Rechnern mit vielen Kernen richtig verstehen

Ohne zusätzliche Einstellung bezieht sich der CPU-Prozentwert auf die gesamte verfügbare Rechenkapazität. Vereinfacht gerechnet kann ein vollständig ausgelasteter einzelner Ausführungsstrang bei acht logischen Prozessoren nur ungefähr 12,5 Prozent Gesamtlast verursachen. Ein Grenzwert von 80 Prozent wäre für genau dieses Problem viel zu hoch.

Mit -u zusammen mit -c beziehst Du die Auslastung auf die Rechenleistung eines einzelnen Kerns. Damit kannst Du beispielsweise eine Last erfassen, die ungefähr 90 Prozent dieser Leistung erreicht. Du wählst damit keinen bestimmten Prozessorkern aus.

.\procdump.exe -ma -c 90 -u -s 5 -n 3 1234 C:\Dumps

Welche Einstellung sinnvoll ist, hängt vom beobachteten Verhalten der Anwendung ab. Für eine kurze Auslastungsspitze kannst Du die geforderte Dauer reduzieren; für eine dauerhaft ausgelastete Anwendung ist eine längere Dauer oft hilfreicher. Lege die Werte so fest, dass sie zum tatsächlichen Fehlerbild passen.

Speicherverbrauch überwachen und Dumps bei einer Grenze erstellen

Wächst der Speicherverbrauch einer Anwendung über längere Zeit, kannst Du die Aufnahme an einen Commit-Schwellenwert koppeln. Commit bezeichnet hier den zugesicherten Speicher des Prozesses. Dieser Wert ist nicht mit jeder im Task-Manager angezeigten Arbeitsspeicherzahl identisch.

.\procdump.exe -ma -m 2048 -s 10 -n 3 1234 C:\Dumps

In diesem Beispiel löst ProcDump eine Aufnahme aus, sobald der zugesicherte Speicher des Prozesses mindestens zehn Sekunden lang bei 2.048 MB oder darüber liegt. Dabei entstehen höchstens drei Dateien – vorausgesetzt, die Bedingung bleibt erfüllt. Wichtig: Diese Grenze gilt nur für den überwachten Prozess, nicht für die gesamte RAM-Belegung des PCs.

Ein hoher Speicherwert allein ist allerdings noch kein Beweis für ein Speicherleck. Manche Programme halten Daten bewusst im Cache oder brauchen für eine große Aufgabe vorübergehend mehr Speicher. Deshalb hilft es, mehrere Zustände miteinander zu vergleichen – und jeweils zu notieren, was die Anwendung gerade verarbeitet hat.

Minidump oder vollständiger Dump: Was solltest Du wählen?

Die benötigte Dump-Art hängt davon ab, welche Informationen für die Untersuchung erforderlich sind. Richte Dich nach einer konkreten Vorgabe des Entwicklers oder Supports, wenn eine solche vorliegt. Ein möglichst kleiner Dump spart zwar Platz, kann aber entscheidende Speicherinhalte auslassen.

Dump-Art	ProcDump-Option	Einordnung
Mini	-mm	Standardformat mit Diagnoseinformationen und ausgewählten Speicherbereichen. Für bestimmte Absturzanalysen ausreichend.
Full	-ma	Umfangreiches Abbild mit dem Prozessspeicher. Häufig für detaillierte Hänger-, Speicher- und Supportanalysen benötigt.
MiniPlus	-mp	Kompromiss, der bestimmte große Speicherbereiche auslassen kann. Bei CLR-Prozessen wird wegen Debugging-Einschränkungen dennoch ein Full-Dump erstellt.

Wenn Du die benötigte Datenmenge nicht einschätzen kannst, kläre die Dump-Art vor einer längeren Überwachung. Das verhindert, dass Du viele große Dateien ohne passenden Auswertungsplan sammelst. Die Dateigröße lässt sich aus dem Namen der Dump-Art allein nicht zuverlässig vorhersagen.

DMP-Datei mit WinDbg öffnen und erste Hinweise finden

ProcDump erstellt die Aufnahmen – für die anschließende Untersuchung kannst Du WinDbg verwenden. Für den Einstieg reicht es, einen Absturzdump zu öffnen, die Symbolauflösung vorzubereiten und sich die automatische Analyse anzusehen. Eine vollständige Ursachenanalyse kann allerdings zusätzliches Wissen über die Anwendung erfordern.

1. Installiere WinDbg, falls es auf Deinem Auswertungsrechner noch nicht vorhanden ist.
2. Starte WinDbg und öffne mit Strg + D die gewünschte DMP-Datei.
3. Warte, bis die Aufnahme geladen wurde.
4. Führe die folgenden Befehle nacheinander im Befehlsfenster von WinDbg aus.

.symfix C:\Symbols
.reload
!analyze -v

.symfix C:\Symbols richtet den öffentlichen Microsoft-Symbolspeicher und einen lokalen Cache ein. Der Cachepfad muss beschreibbar sein; falls erforderlich, verwendest Du einen anderen lokalen Ordner. Symbole helfen dabei, Speicheradressen Funktionen und Programmmodulen zuzuordnen. Für das erstmalige Herunterladen benötigter Symbole ist eine Netzwerkverbindung erforderlich.

.reload aktualisiert die Symbolinformationen, und !analyze -v startet eine ausführliche automatische Auswertung. Achte bei einem Absturzdump auf den Ausnahmecode, beteiligte Module und den Aufrufstapel. Der Aufrufstapel zeigt, welche Funktionen im untersuchten Ausführungsstrang aufgerufen wurden.

Eine genannte DLL ist zunächst nur ein Hinweis – kein abschließender Beweis für die Ursache. Für eine genauere Analyse können zusätzlich passende Symboldateien des Softwareherstellers nötig sein. Bei CPU-Problemen oder Hängern geht es häufig eher um den Vergleich von Ausführungssträngen und mehrere Aufnahmen. Eine automatische Absturzanalyse allein reicht dafür also nicht aus.

ProcDump erzeugt keinen brauchbaren Dump: Typische Fehler

„Access is denied“ oder „Zugriff verweigert“

Unterscheide, ob ProcDump den Zielprozess nicht öffnen kann oder die Datei nicht schreiben darf. Prüfe entsprechend den Berechtigungskontext der PowerShell oder die Schreibrechte des Zielordners. Administratorrechte lösen dabei nicht jedes Problem: Windows kann den Zugriff auf geschützte Prozesse zusätzlich einschränken.

Die Anwendung verschwindet, aber „-e“ löst nicht aus

Nicht jede Prozessbeendigung entsteht durch eine unbehandelte Ausnahme. Ein Programm kann sich beispielsweise selbst regulär beenden oder von einer anderen Komponente beendet werden. Falls das Fehlerbild dazu passt, kannst Du stattdessen eine Aufnahme beim Prozessende mit -t versuchen.

.\procdump.exe -ma -t -n 1 1234 C:\Dumps

Dieser Auslöser reagiert auch auf ein gewöhnliches Schließen. Halte deshalb fest, ob der Prozess unerwartet verschwunden ist oder von Dir beendet wurde. Die entstandene Datei enthält nicht zwangsläufig den Ausnahmekontext eines echten Absturzes.

Ein anderer Debugger ist bereits verbunden

Eine laufende Debugsitzung kann dazu führen, dass ProcDump die gewünschte Ausnahmeüberwachung nicht übernimmt. Prüfe deshalb vorher, ob die Anwendung bereits unter WinDbg, in einer Entwicklungsumgebung oder unter einem anderen Diagnosewerkzeug läuft. Und stimme Dich ab, bevor Du mehrere Werkzeuge gleichzeitig an denselben Prozess bindest.

Nach einem Neustart entstehen keine weiteren Aufnahmen

Die gezeigten Befehle sind keine dauerhafte Überwachung jedes künftigen Programmstarts. Wenn die erfasste Prozessinstanz endet, übernimmt ProcDump nicht automatisch unbegrenzt deren Nachfolger. Starte die Überwachung bei Bedarf erneut und kontrolliere, ob Du den richtigen neuen Prozess erfasst hast.

Aufnahme beenden und den Fehler sinnvoll dokumentieren

Willst Du eine laufende Überwachung vorzeitig beenden, drückst Du im ProcDump-Fenster Strg + C. Warte dann, bis die Erfassung sauber abgeschlossen ist – und beende ProcDump nicht während des Schreibens über den Task-Manager. Prüfe anschließend, welche Dateien vollständig erstellt wurden.

Für die spätere Untersuchung ist eine kurze Notiz oft genauso wertvoll wie der passende Dump: Beschreibe, was Du direkt vor dem Fehler gemacht hast, und notiere die verwendete Befehlszeile. So kann der Empfänger nachvollziehen, wodurch die Aufnahme ausgelöst wurde.

• Name und Version der betroffenen Anwendung.
• Windows-Version und Build des betroffenen Rechners.
• Zeitpunkt des Fehlers, bei mehreren Standorten zusätzlich die Zeitzone.
• Arbeitsschritte, mit denen sich das Verhalten auslösen lässt.
• Abweichungen zwischen einem funktionierenden und einem fehlerhaften Durchlauf.

Ergänzend kannst Du zeitlich passende Ereignisse mit PowerShell auslesen. Beschränke die zusätzliche Aufzeichnung auf den relevanten Zeitraum und die betroffene Anwendung. Dadurch erhält der Support einen nachvollziehbaren Zusammenhang zwischen Deinem Arbeitsschritt, dem protokollierten Fehler und der Speicheraufnahme.

FAQ: Häufige Fragen zur ProcDump Anleitung

Fazit: Mit ProcDump den entscheidenden Fehlerzustand sichern

Eine gute ProcDump-Aufnahme beginnt mit einer klaren Frage: Stürzt die Anwendung ab, reagiert ihr Fenster nicht mehr, oder fällt sie durch einen auffälligen Leistungswert auf? Danach wählst Du den passenden Auslöser und legst fest, wie viele Aufnahmen höchstens entstehen sollen. Mit einer sauber dokumentierten DMP-Datei hat die Fehlersuche eine deutlich bessere Grundlage als mit einem bloßen „Das Programm geht manchmal einfach zu“.