So beheben Sie den durch ntoskrnl.exe verursachten BSOD „IRQL_NOT_LESS_OR_EQUAL“

Wenn ein Windows-System mit dem Bluescreen IRQL_NOT_LESS_OR_EQUAL abstürzt, stehen IT-Teams vor mehr als nur einem unterbrochenen Arbeitstag. Laut IDC kostet ungeplante Ausfallzeit, die durch Systeminstabilität ausgelöst wird, Unternehmen bis zu 300.000 $ pro Stunde an verlorener Produktivität. Wenn ntoskrnl.exe als fehlerhaftes Modul erscheint, ist dies umso kritischer, da dieser Fehler auf Kernel-Ebene nicht nur einen Neustart erzwingt, sondern auch Dateisysteme während des Schreibvorgangs beschädigen, Treiberzustände ruinieren und mit jedem Absturz schleichend die Datenintegrität untergraben kann.

Die Herausforderung besteht darin, dass der Windows-Kernel (ntoskrnl.exe) oft nur der „Zeuge“ des Verbrechens ist, nicht der eigentliche Täter. Wie können Sie ihn also wirklich reparieren? Dieser Leitfaden führt Sie durch den systematischen Diagnose- und Behebungsprozess, um den wahren Übeltäter zu identifizieren und ihn dauerhaft zu fixieren, ohne Ihre Sicherheitslage zu schwächen oder weiteren Datenverlust zu riskieren.

Was IRQL_NOT_LESS_OR_EQUAL-Fehler verursacht

Der Stop-Code IRQL_NOT_LESS_OR_EQUAL (0x0000000A) tritt auf, wenn ein Prozess im Kernel-Modus oder ein Treiber versucht, auf den Speicher mit einer falschen Prioritätsstufe zuzugreifen. Einfach ausgedrückt: Ein Stück Software hat versucht, Daten zu berühren, für deren Zugriff es in diesem Moment nicht autorisiert war, und Windows hat sofort alles angehalten, um eine Beschädigung zu verhindern.

In realen IT-Umgebungen tritt dieser Fehler typischerweise nach subtilen Systemänderungen auf, wie z. B.:

• Ein Netzwerk-Treiber, der nachts automatisch aktualisiert wurde
• Ein Speichermodul, das unter thermischer Belastung nachlässt
• Ein „zertifizierter“ Grafikcontroller, der versucht, eine vom Kernel geschützte Speicheradresse zu überschreiben

Wenn Sie ntoskrnl.exe als fehlerhaftes Modul gelistet sehen, ist sie fast nie das eigentliche Problem. Der Kernel ist lediglich die Komponente, die die Verletzung erkannt und gemeldet hat – wie ein Wachmann, der einen Eindringling meldet, anstatt selbst der Eindringling zu sein. Gerätetreiber sind für die Mehrheit der Betriebssystemfehler verantwortlich, oft rund 70 %, wobei Drittanbieter-Treiber besonders fehleranfällig sind.

Nicht jeder Code im Kernel-Modus birgt das gleiche Risiko. Bestimmte Treiber wie die für die Netzwerkkarte (NIC) und die Grafikeinheit (GPU) gehören zu den häufigsten Verursachern. Diese Komponenten führen massive, asynchrone Datenübertragungen mit hoher Geschwindigkeit durch, was sie extrem anfällig für Speicherzugriffskonflikte macht. Zusätzlich kann eine geringfügige Unstimmigkeit in einer Firmware-Schnittstelle dazu führen, dass eine gesamte Geräteflotte in wiederholte Bluescreen-Schleifen gerät, weil der Treiber versucht hat, auf auslagerbaren Speicher auf einer verbotenen Prioritätsstufe zuzugreifen.

Schritt-für-Schritt-Anleitung zur Behebung des IRQL_NOT_LESS_OR_EQUAL-Fehlers

Die Behebung dieses Fehlers auf Kernel-Ebene erfordert eine Reihe von Schritten, beginnend mit einer sicheren Vorbereitung über die Diagnose bis hin zur gezielten Behebung. Das Überspringen von Schritten oder das direkte Springen zu „Lösungen“ führt oft zu Zeitverschwendung bei der Jagd nach dem falschen Übeltäter oder führt neue Instabilitäten ein, während das ursprüngliche Problem bestehen bleibt.

Schritt 1: Bereiten Sie Ihr System auf eine sichere Diagnose vor

Bevor Sie eine aktive Behebung versuchen, müssen Sie sicherstellen, dass das System so konfiguriert ist, dass es Diagnosedaten erfasst und dass Sie Wiederherstellungsoptionen haben, falls etwas schiefläuft. Ziel ist es, ein Sicherheitsnetz zu schaffen, das es Ihnen ermöglicht, aggressiv zu untersuchen, ohne Datenverlust oder ein nicht mehr bootfähiges System zu riskieren.

Vollständige Speicher-Dumps konfigurieren 

Windows erstellt standardmäßig Minidump-Dateien, aber diesen verkürzten Absturzberichten fehlen oft die für eine gründliche Analyse erforderlichen Details. Folgen Sie diesen Schritten:

1. Drücken Sie Win + Pause/Untbr, um die Systemeinstellungen zu öffnen (oder Rechtsklick auf Dieser PC > Eigenschaften > Erweiterte Systemeinstellungen)

2. Klicken Sie unter der Registerkarte Erweitert auf „Starten und Wiederherstellen“

3. Wählen Sie im Dropdown-Menü „Debuginformationen speichern“ die Option „Vollständiges Speicherabbild“ und stellen Sie sicher, dass als Pfad %SystemRoot%\MEMORY.DMP angezeigt wird

4. Klicken Sie auf OK zum Speichern, dann erneut auf OK, um die Systemeigenschaften zu schließen 

Dies stellt sicher, dass Sie beim nächsten Absturz eine vollständige Momentaufnahme des Kernel-Speichers zur Analyse mit WinDbg haben.

Überprüfen Sie Ihren Backup-Umfang und den Wiederherstellungszugriff 

Bevor Sie Treiberänderungen vornehmen oder Diagnosetools ausführen, die zusätzliche Abstürze auslösen könnten, bestätigen Sie, dass Sie über aktuelle Backups kritischer Daten und eine verifizierte Wiederherstellungsmethode verfügen. Folgen Sie diesen Schritten:

1. Öffnen Sie Ihre Backup-Lösung (Windows-Sicherung, Drittanbieter-Software oder Enterprise-Backup-System)

2. Verifizieren Sie, dass der Zeitstempel des letzten erfolgreichen Backups aktuell ist (innerhalb von 24 Stunden für kritische Systeme)

3. Prüfen Sie, ob das Backup Systemstatusdaten enthält, nicht nur Benutzerdateien

4. Wenn Sie remote arbeiten, bestätigen Sie, dass Sie einen Out-of-Band-Zugriff haben, der nicht von der Stabilität des Betriebssystems abhängt 

Für enterprise IT environments stellen Sie sicher, dass Ihre Backup-Lösung über aktuelle Snapshots verfügt und dass Sie Wiederherstellungsverfahren getestet haben. Sie möchten keine Backup-Fehler entdecken, während Sie versuchen, sich von einem Diagnose-Missgeschick zu erholen.

Einen Systemwiederherstellungspunkt erstellen 

Während die Systemwiederherstellung bei hardwarebezogenen IT issues nicht hilft, bietet sie eine schnelle Rollback-Option, falls Treiber-Updates oder Systemdatei-Reparaturen neue Probleme verursachen. 

Folgen Sie diesen Schritten:

1. Geben Sie „Wiederherstellungspunkt erstellen“ in die Windows-Suchleiste ein und drücken Sie Enter

2. Wählen Sie unter der Registerkarte Computerschutz Ihr Laufwerk C: aus und klicken Sie auf Konfigurieren

3. Stellen Sie sicher, dass „Computerschutz aktivieren“ ausgewählt ist

4. Stellen Sie den Schieberegler für die Speicherplatznutzung auf mindestens 5 % – 10 % der Laufwerkskapazität

5. Klicken Sie auf OK und dann auf die Schaltfläche Erstellen unten im Fenster

6. Geben Sie eine klare Beschreibung ein wie „Diagnose vor IRQL – [Heutiges Datum]“

7. Klicken Sie auf Erstellen und warten Sie auf die Bestätigung

Schritt 2: Analysieren Sie Speicher-Dumps, um den Übeltäter zu identifizieren

Nach Abschluss der Vorbereitung konzentriert sich die nächste Phase darauf, zu identifizieren, welche Komponente tatsächlich die IRQL-Verletzung verursacht. Denken Sie daran, dass ntoskrnl.exe fast nie das wahre Problem ist. Ihr Job ist es, zu finden, was sie ausgelöst hat.

WinDbg installieren und konfigurieren 

WinDbg (Windows Debugger) ist das Standardwerkzeug der Branche für die Analyse von Kernel-Abstürzen.

1. Öffnen Sie den Microsoft Store, suchen Sie nach „WinDbg“ und klicken Sie auf Herunterladen

2. Öffnen Sie das Tool über den Microsoft Store oder das Startmenü

3. Klicken Sie auf File > Start debugging > Open dump file

4. Navigieren Sie zu C:\Windows\MEMORY.DMP (oder C:\Windows\Minidump\, falls Sie Minidumps verwenden) und wählen Sie die aktuellste .dmp-Datei aus

5. Klicken Sie auf Open und warten Sie, bis WinDbg den Dump geladen hat (bei vollständigen Speicherabbildern kann dies einige Minuten dauern)

6. Sobald geladen, geben Sie !analyze -v in das Befehlsfenster unten ein und drücken Sie Enter

7. Warten Sie, bis die automatisierte Analyse abgeschlossen ist 

HINWEIS: Falls keine Dump-Dateien existieren, hat Ihr System noch keine Absturzdaten erfasst oder diese wurden automatisch bereinigt. Springen Sie zum Punkt „Auf physischen Speicherfehler testen“.

Die Ausgabe von !analyze -v liefert detaillierte Informationen über die Absturzursache. Sie müssen Drittanbieter-Treiber im Stack-Trace identifizieren. 

Folgen Sie diesen Schritten:

1. Scrollen Sie durch die Analyseausgabe zum Abschnitt „STACK_TEXT“

2. Suchen Sie im Stack nach .sys-Dateien von Drittanbietern (alles, was nicht von Microsoft stammt). Häufige Übeltäter sind:

• nvlddmkm.sys (NVIDIA-Grafiktreiber)
• rt640x64.sys oder rtwlane.sys (Realtek-Netzwerktreiber)
• igdkmd64.sys (Intel-Grafiktreiber)
• e1d68x64.sys (Intel-Netzwerktreiber)
• Treiberdateien von Antiviren- oder VPN-Software

3. Notieren Sie den exakten Dateinamen des Treibers und alle angezeigten Herstellerinformationen

4. Suchen Sie online nach „[Treiberdateiname] IRQL_NOT_LESS_OR_EQUAL“, um zu sehen, ob andere ähnliche Probleme gemeldet haben

Schritt 3: Driver Verifier verwenden, um verdächtige Treiber zu testen

Sobald Sie potenzielle Problemtreiber identifiziert haben, zwingt der Driver Verifier diese Treiber unter strengere Aufsicht und deckt Fehler auf, die unter normalen Bedingungen nur sporadisch auftreten könnten. Der Driver Verifier ist ein integriertes Windows-Tool. Er ist extrem effektiv beim Aufspüren von IRQL-Verletzungen, kann Ihr System aber bei falscher Konfiguration instabil machen.

Folgen Sie diesen Schritten, um den Driver Verifier zu aktivieren:

1. Drücken Sie Win + R, geben Sie verifier.exe ein und drücken Sie Enter

2. Wählen Sie „Benutzerdefinierte Einstellungen erstellen (für Softwareentwickler)“ und klicken Sie auf Weiter

3. Aktivieren Sie diese Optionen und klicken Sie auf Weiter:

• Spezieller Pool (Special Pool)
• IRQL-Überprüfung erzwingen (Force IRQL Checking)
• Pooltracking (Pool Tracking)
• Deadlock-Erkennung (Deadlock Detection)

4. Wählen Sie „Treiber-Namen aus einer Liste wählen“ und klicken Sie auf Weiter Wichtiger 

Warnhinweis: Wählen Sie NICHT „Alle auf diesem Computer installierten Treiber automatisch wählen“. Dies kann das System völlig instabil machen.

5. Suchen und markieren Sie in der Liste nur die spezifischen Treiber, die in Ihrer WinDbg-Analyse identifiziert wurden

6. Klicken Sie auf Fertig stellen

7. Starten Sie Ihren Computer neu, wenn Sie dazu aufgefordert werden

Verwenden Sie Ihren Computer bei aktiviertem Driver Verifier ganz normal.

Führen Sie folgende Schitte aus:

1. Nachdem Sie den Computer mit aktiviertem Driver Verifier neu gestartet haben, nutzen Sie ihn wie gewohnt

2. Führen Sie Aktivitäten aus, die zuvor Abstürze ausgelöst haben (Gaming, Videowiedergabe, hohe Netzwerkauslastung)

3. Wenn der Treiber einen IRQL-Fehler hat, wird der Driver Verifier einen sofortigen Absturz auslösen, wobei der spezifische Treiber deutlich auf dem Bluescreen identifiziert wird

4. Bleibt das System 24 – 48 Stunden stabil, ist der Treiber wahrscheinlich nicht die Ursache 

Nach Abschluss des Tests müssen Sie den Driver Verifier deaktivieren, da Ihr System sonst unter strengen Prüfregeln weiterläuft, was die Leistung beeinträchtigt.

Schritt 4: Geräte-Manager auf Treiberkonflikte prüfen

Der Geräte-Manager bietet eine schnelle visuelle Möglichkeit, problematische Treiber und kürzliche Änderungen zu identifizieren.

1. Drücken Sie Win + X und wählen Sie Geräte-Manager

2. Suchen Sie nach Geräten mit gelben Ausrufezeichen (⚠️)

3. Überprüfen Sie besonders diese Kategorien:

• Netzwerkkonfiguration (Network adapters)
• Grafikkarten (Display adapters)
• Speichercontroller (Storage controllers)
• Systemgeräte (System devices)

4. Klicken Sie bei den Geräten auf Eigenschaften > Treiber

5. Notieren Sie das Treiberdatum Falls die Abstürze nach einem bestimmten Datum begannen, sind Treiber, die um diese Zeit aktualisiert wurden, Hauptverdächtige.

6. Wenn Sie einen problematischen Treiber finden, klicken Sie auf „Vorheriger Treiber“, falls die Option nicht ausgegraut ist

7. Wählen Sie einen Grund aus der Liste aus und klicken Sie auf „Ja“, um zu bestätigen

8. Starten Sie Ihren Computer nach dem Rollback neu 

Zusätzlich sollten Sie in Erwägung ziehen, Ihre Treiber zu aktualisieren, da veraltete Treiber ebenfalls zahlreiche Probleme verursachen können. Nutzen Sie dazu unsere Liste der besten Software für Patch Management (Driver Updater).

Hinweis: Das Zurücksetzen des Treibers ist nur möglich, wenn Windows die vorherige Treiberversion gespeichert hat. Wenn die Schaltfläche „Treiber zurücksetzen“ ausgegraut ist, müssen Sie eine ältere Treiberversion manuell von der Website des Herstellers herunterladen.

Wenn Sie die Möglichkeit dazu haben, sollten Sie außerdem eine Aktualisierung Ihrer Treiber in Betracht ziehen, da veraltete Treiber ebenfalls zahlreiche Probleme verursachen können. 

Schritt 5: Einen sauberen Neustart durchführen, um Drittanbieter-Software zu isolieren

Ein sauberer Neustart stellt fest, ob Drittanbieter-Dienste oder Startprogramme den IRQL-Fehler auslösen.

1. Drücken Sie Win + R, geben Sie msconfig ein und drücken Sie Enter

2. Klicken Sie auf die Registerkarte Dienste

3. Aktivieren Sie unten „Alle Microsoft-Dienste ausblenden“ und klicken Sie auf „Alle deaktivieren“

4. Klicken Sie auf die Registerkarte Autostart > Task-Manager öffnen

5. Deaktivieren Sie im Task-Manager alle aktivierten Autostart-Elemente

6. Schließen Sie den Task-Manager 

7. Klicken Sie in der Systemkonfiguration auf OK

8. Klicken Sie auf Neustart 

Nachdem Sie den Computer im Clean-Boot-Modus gestartet haben, prüfen Sie anhand der folgenden Schritte, ob die IRQL-Abstürze weiterhin auftreten:

1. Nutzen Sie Ihren Computer mehrere Stunden lang wie gewohnt oder führen Sie Tätigkeiten aus, die zuvor Abstürze ausgelöst haben.

2. Wenn die Abstürze aufhören, ist ein Dienst oder ein Startprogramm eines Drittanbieters die Ursache.

3. Wenn die Abstürze weiterhin auftreten, liegt das Problem bei einem Kernel-Modus-Boot-Start-Treiber (wie Festplatten- oder Netzwerktreibern) und nicht bei einem User-Modus-Dienst.

4. Um festzustellen, welcher Dienst dafür verantwortlich ist, öffnen Sie msconfig erneut.

5. Wechseln Sie zur Registerkarte „Dienste“, blenden Sie die Microsoft-Dienste aus und aktivieren Sie dann die Hälfte der deaktivierten Dienste

6. Starten Sie den Computer neu und testen Sie

7. Wenn die Abstürze wieder auftreten, befindet sich der Verursacher in der aktivierten Hälfte. Deaktivieren Sie die Hälfte dieser Dienste und testen Sie erneut

8. Wenn die Abstürze nicht wieder auftreten, befindet sich der Verursacher in der noch deaktivierten Hälfte. Aktivieren Sie die Hälfte dieser Dienste und testen Sie

9. Setzen Sie diesen binären Suchvorgang fort, bis Sie den spezifischen Dienst isoliert haben

Testen Sie nun, ob die Abstürze weiterhin auftreten. Falls sie aufhören, ist ein Drittanbieter-Dienst der Übeltäter. Sie können diesen nun durch schrittweises Wiedereinschalten der Dienste (binäre Suche) isolieren.

Schritt 6: Windows-Sicherheitseinstellungen für Kompatibilitätstests umschalten

Die Kernisolierung und Speicherintegrität schützen den Kernel, können aber mit älteren Treibern in Konflikt geraten.

Befolgen Sie diese Schritte, um zu überprüfen, ob VBS-Funktionen Konflikte verursachen:

1. Drücken Sie Win + I, um die Einstellungen zu öffnen

2. Navigieren Sie zu „Datenschutz und Sicherheit“ > „Windows-Sicherheit“

3. Klicken Sie auf „Gerätesicherheit“

4. Klicken Sie auf „Details zur Kernisolierung“

5. Überprüfen Sie, ob „Speicherintegrität“ aktiviert oder deaktiviert ist

6. Wenn die Option aktiviert ist und die Abstürze nach einem kürzlich durchgeführten Windows-Update aufgetreten sind, deaktivieren Sie sie.

7. Starten Sie Ihren Computer neu.

8. Testen Sie das System mehrere Stunden lang.

Wenn die Abstürze weiterhin auftreten, ist die Speicherintegrität nicht die Ursache. Aktivieren Sie sie erneut, um den Kernel weiterhin zu schützen, und fahren Sie mit den nächsten Schritten fort. Wenn die Abstürze nach dem Deaktivieren der Speicherintegrität aufhören, entspricht der Treiber nicht den modernen Sicherheitsstandards.

Ab hier haben Sie mehrere Möglichkeiten:

• Wenden Sie sich an den Hardwarehersteller, um einen aktualisierten, VBS-konformen Treiber zu erhalten.
• Ersetzen Sie die Hardware durch eine, für die konforme Treiber verfügbar sind.
• Treffen Sie eine risikobasierte Entscheidung, die Speicherintegrität für dieses spezifische System deaktiviert zu lassen (nicht empfohlen für Produktionsumgebungen).

Schritt 7: Systemdateien mit SFC und DISM reparieren

Beschädigte Systemdateien können IRQL-Verletzungen auslösen, wenn Kernel-Komponenten beschädigt sind. Diese Befehlszeilentools reparieren Windows-Systemdateien unter Verwendung offizieller Microsoft-Quellen.

DISM (Deployment Image Servicing and Management) muss zuerst ausgeführt werden, da es den Komponentenspeicher repariert, den SFC als Referenz verwendet. Führen Sie die folgenden Schritte aus:

1. Öffnen Sie die Eingabeaufforderung als Administrator

2. Geben Sie folgenden Befehl ein: DISM /Online /Cleanup-Image /RestoreHealth

3. Warten Sie, bis der Vorgang abgeschlossen ist (dies kann je nach Internetgeschwindigkeit und Systemzustand 15 bis 30 Minuten dauern)

4. Geben Sie anschließend folgenden Befehl ein: SFC /scannow

5. Warten Sie, bis der Scan abgeschlossen ist (in der Regel 10–20 Minuten).

6. Lesen Sie die Endergebnisse:

• „Der Windows-Ressourcenschutz hat keine Integritätsverletzungen festgestellt“ = keine beschädigten Dateien gefunden
• „Der Windows-Ressourcenschutz hat beschädigte Dateien gefunden und erfolgreich repariert“ = die Beschädigung wurde behoben
• „Der Windows-Ressourcenschutz hat beschädigte Dateien gefunden, konnte jedoch einige davon nicht reparieren“ = manueller Eingriff erforderlich

Wenn SFC Dateien gefunden, aber nicht reparieren konnte, müssen Sie das Protokoll überprüfen, um festzustellen, welche Dateien problematisch sind. Führen Sie dazu die folgenden Schritte aus:

1. Geben Sie in der Eingabeaufforderung folgenden Befehl ein: findstr /c:„[SR]“ %windir%\Logs\CBS\CBS.log > „%userprofile%\Desktop\sfcdetails.txt“

2. Gehen Sie auf Ihren Desktop und öffnen Sie die Datei „sfcdetails.txt“ mit dem Notizblock.

3. Suchen Sie nach Zeilen, die den Eintrag „[SR] Kann nicht repariert werden“ enthalten, um festzustellen, welche Systemdateien beschädigt sind.

4. Notieren Sie sich diese Dateinamen, um sie gegebenenfalls manuell durch Dateien von bekanntermaßen fehlerfreien Systemen oder von Windows-Installationsmedien zu ersetzen.

Schritt 8: PowerShell verwenden, um Treiber im großen Stil zu auditieren

Für Unternehmen, die mehrere Endgeräte verwalten, bietet PowerShell die Möglichkeit, den Treiberstatus einer gesamten Geräteflotte zu überprüfen und Korrekturmaßnahmen aus der Ferne durchzuführen.

Führen Sie die folgenden Schritte aus:

1. Öffnen Sie PowerShell als Administrator

2. Fügen Sie diesen Befehl ein: Get-WindowsDriver -Online -All | Export-Csv -Path „$env:USERPROFILE\Desktop\AllDrivers.csv“ -NoTypeInformation

3. Warten Sie, bis der Befehl ausgeführt wurde, und öffnen Sie dann die CSV-Datei auf Ihrem Desktop mit Excel oder einem anderen Tabellenkalkulationsprogramm.

4. Hinweis: Dieser Befehl kann auf langsameren Systemen hängen bleiben. Wenn Sie eine längere Zeit warten und keine Ergebnisse erhalten, versuchen Sie stattdessen diesen Befehl: driverquery /FO CSV /SI > „C:\Users\Public\Desktop\AllDrivers.csv“

5. Überprüfen Sie die Spalte „Driver“, um alle installierten Treiber, deren Versionen, Datumsangaben und Anbieter anzuzeigen.

6. Identifizieren Sie nicht signierte oder veraltete Treiber (da diese die Hauptverdächtigen für IRQL-Verletzungen sind, weil sie keinen strengen Tests zur Speicherverwaltung unterzogen wurden) mit diesem Befehl: driverquery /SI /FO TABLE

7. Scrollen Sie durch die Ausgabe und suchen Sie nach Einträgen, die in der Spalte „IsSigned“ den Wert „FALSE“ anzeigen.

8. Notieren Sie sich den Modulnamen und den Inf-Namen aller nicht signierten Treiber.

9. Gliedern Sie diese mit Ihrer früheren WinDbg-Analyse oder der Überprüfung im Geräte-Manager ab, um Verdächtige zu priorisieren.

Beispielsweise sind nicht signierte Einträge von Gaming-Peripheriegeräten (wie Treiber für drahtlose Empfänger), VPN-Software oder älterer Hardware häufige Befunde und oft die Ursache für IRQL-Fehler. Gliedern Sie alle FALSE-Einträge mit der in Schritt 1 dokumentierten Absturz-Zeitleiste ab, um festzustellen, ob sie als Verdächtige in Frage kommen.

10. Ermitteln Sie dann die genaue InstanceId des Geräts mit dem problematischen Treiber: Get-PnpDevice | Where-Object {$_.FriendlyName -like „[Teil des Gerätenamens]“}

Ersetzen Sie [Teil des Gerätenamens] durch einen Teil des Treibernamens aus Ihrer früheren Analyse (z. B. „Realtek“ oder „lightspeed“).

11. Deaktivieren Sie das Gerät anhand seiner InstanceId mit folgendem Befehl: Disable-PnpDevice -InstanceId „[InstanceId hier einfügen]“ -Confirm:$false

Schritt 9: Offline-Treiberentfernung durchführen (wenn das System nicht bootet)

Wenn Windows abstürzt, bevor Sie sich anmelden können, müssen Sie den problematischen Treiber mithilfe der Windows-Wiederherstellungsumgebung (WinRE) außerhalb des Betriebssystems identifizieren und entfernen.

So rufen Sie WinRE auf, wenn Sie über Installationsmedien verfügen:

1. Legen Sie den USB-Stick oder die DVD ein und starten Sie Ihren Computer neu.

2. Drücken Sie eine beliebige Taste, wenn Sie aufgefordert werden, vom Medium zu booten.

3. Wählen Sie Ihre Spracheinstellungen aus und klicken Sie auf „Weiter“.

4. Klicken Sie unten links auf „Computer reparieren“.

So rufen Sie WinRE auf, wenn Sie keine Installationsmedien haben:

1. Fahren Sie Ihren Computer dreimal schnell hintereinander zwangsweise herunter, während er versucht zu starten, um die automatische WinRE-Funktion auszulösen.

2. Warten Sie, bis „Automatische Reparatur wird vorbereitet“ angezeigt wird.

3. Klicken Sie auf „Erweiterte Optionen“, wenn der Wiederherstellungsbildschirm erscheint.

4. Navigieren Sie zu „Problembehandlung“ > „Erweiterte Optionen“ > „Eingabeaufforderung“.

In der Wiederherstellungsumgebung weichen die Laufwerksbuchstaben oft von denen im normalen Windows-Betrieb ab. Sie müssen herausfinden, auf welchem Laufwerk sich Ihre Windows-Installation befindet.

Befolgen Sie diese Schritte, um das Windows-Laufwerk zu identifizieren:

1. Geben Sie folgenden Befehl ein: diskpart

2. Geben Sie im Festplattenpartitionierungstool Folgendes ein: list volume

3. Notieren Sie sich den Laufwerksbuchstaben des Volumes, das entweder mit „Windows“ beschriftet ist oder dessen Größe Ihrer Windows-Installation entspricht (in der Regel 100 GB – 500 GB für die Betriebssystempartition)

4. Geben Sie Folgendes ein: exit

5. Geben Sie dann Folgendes ein (ersetzen Sie „D“ durch den richtigen Laufwerksbuchstaben): dism /image:D:\ /get-drivers

6. Drücken Sie die Eingabetaste und warten Sie, bis die Liste erstellt wurde

7. Überprüfen Sie die Ausgabe auf den Treiber, den Sie in Ihrer früheren WinDbg-Analyse identifiziert haben

8. Notieren Sie sich den „Veröffentlichten Namen“ (sieht aus wie oem##.inf, wobei ## eine Zahl ist)

9. Entfernen Sie dann den Treiber mit diesem Befehl (ersetzen Sie „D“ durch Ihren Windows-Laufwerksbuchstaben und „oem##.inf“ durch den tatsächlichen Dateinamen des Treibers): dism /image:D:\ /remove-driver /driver:oem##.inf

10. Starten Sie Ihren Computer neu, sobald der Vorgang abgeschlossen ist.

Schritt 10: BIOS/UEFI-Firmware-Einstellungen anpassen

Wenn Sie alle Treiber-Updates, Reparaturen von Systemdateien und Diagnosen im abgesicherten Modus ausprobiert haben, ohne die Abstürze beheben zu können, liegt das Problem möglicherweise an der Schnittstelle zwischen Hardware und Firmware. Führen Sie Änderungen an der Firmware erst dann durch, wenn Sie sich vergewissert haben, dass Lösungen auf Softwareebene fehlgeschlagen sind.

Befolgen Sie diese Schritte:

1. Rufen Sie das BIOS/UEFI auf, indem Sie Ihren PC neu starten und dann während des Startvorgangs wiederholt die BIOS-Taste drücken (die Taste variiert je nach Hersteller, ist aber in der Regel eine der folgenden: Delete, F2, F10, F12 oder Esc).

2. Wenn Sie den Betriebssystem-Bildschirm sehen, haben Sie die falsche Taste gedrückt und sind zu weit gegangen. Das BIOS-Menü sollte in etwa so aussehen:

Speichern Sie nach jedem Schritt die Einstellungen, beenden Sie das BIOS und testen Sie das System, um zu prüfen, ob die Abstürze nun nicht mehr auftreten. Ist dies nicht der Fall, fahren Sie mit der nächsten BIOS-Änderung fort.

XMP-/DOCP-/EXPO-Speicherprofile deaktivieren

XMP (Extreme Memory Profile) und DOCP (Direct Overclocking Profile) beanspruchen den Arbeitsspeicher über die Standardspezifikationen hinaus und sind instabiler, was zu IRQL-Verletzungen führen kann, wenn der Speichercontroller die Stabilität nicht aufrechterhalten kann.

Befolgen Sie diese Schritte:

1. Navigieren Sie im BIOS-Setup zum Abschnitt „Overclocking“, „Advanced“ oder „AI Tweaker“ (je nach Hersteller unterschiedlich).

2. Suchen Sie die Einstellung mit der Bezeichnung „XMP“, „DOCP“, „EOCP“ oder „Memory Profile“.

3. Ändern Sie die Einstellung von „Enabled“ oder „Profile 1“ auf „Disabled“ oder „Default“.

4. Überprüfen Sie, ob die Speicherfrequenz den JEDEC-Standardgeschwindigkeiten entspricht (DDR4-2133, DDR4-2400 oder DDR5-4800).

Wenn die Abstürze weiterhin auftreten, lag das Problem nicht beim RAM, und Sie können XMP oder DOCP wieder aktivieren.

Deaktivieren Sie die Hardware-Virtualisierung

Konflikte zwischen CPU-Virtualisierungsfunktionen und bestimmten Treibern können IRQL-Fehler auslösen, insbesondere bei älteren Netzwerkkarten oder GPU-Treibern. Befolgen Sie diese Schritte, um die Virtualisierung zu deaktivieren (sofern Sie keine VMs wie Hyper-V oder Windows Sandbox verwenden):

1. Navigieren Sie zum Abschnitt „CPU-Konfiguration“, „Erweitert“ oder „Sicherheit“

2. Suchen Sie „Intel Virtualization Technology“ (Intel VT-x) oder „SVM Mode“ (AMD-V)

3. Ändern Sie die Einstellung auf „Deaktiviert“

4. Deaktivieren Sie außerdem „Intel VT-d“ oder „AMD IOMMU“, falls vorhanden

PPCIe-Energieverwaltung (ASPM) anpassen

Eine aggressive Energieverwaltung kann dazu führen, dass die Hardware unregelmäßig aus Energiesparzuständen erwacht, was zu IRQL-Verletzungen führt, wenn Treiber versuchen, mit Hardware zu kommunizieren, die noch nicht vollständig initialisiert ist.

Befolgen Sie diese Schritte, um es zu deaktivieren:

1. Navigieren Sie zu „Erweitert“ > „PCIe-Konfiguration“ oder „Chipsatz-Konfiguration“.

2. Suchen Sie „ASPM“ (Active State Power Management).

3. Ändern Sie die Einstellung von „Auto“ oder „L1“ auf „Deaktiviert“.

4. Testen Sie die Ruhe- und Aktivierungszyklen des Systems

Deaktivieren Sie die CPU-C-Zustände für den Test

Die Energiesparzustände der CPU können Probleme beim Aktivierungszeitpunkt verursachen, die zu IRQL-Verletzungen führen. Befolgen Sie diese Schritte, um die C-Zustände zu deaktivieren:

1. Navigieren Sie zu „Erweitert“ > „CPU-Konfiguration“ oder „Energieverwaltung“

2. Suchen Sie nach „CPU-C-Zustände“, „Erweiterte C-Zustände“ oder „Globale C-Zustandssteuerung“

3. Ändern Sie die Einstellung auf „Deaktiviert“

BIOS-/UEFI-Firmware aktualisieren (als letztes Mittel)

Eine veraltete Motherboard-Firmware kann zu Kommunikationsfehlern zwischen dem Betriebssystem und der Hardware führen.

Wichtiger Hinweis: BIOS-Updates bergen Risiken. Wenn der Vorgang während des Flashens unterbrochen wird (Stromausfall, Systemabsturz), kann das Motherboard möglicherweise nicht mehr hochfahren. Führen Sie BIOS-Updates nur durch, wenn Sie alle anderen Möglichkeiten ausgeschöpft haben und die Versionshinweise ausdrücklich Stabilitätsprobleme behandeln, die Ihren Symptomen entsprechen.

Lesen Sie außerdem unsere umfassenden Anleitungen zu Firmware-Updates und zur Aktualisierung Ihres BIOS, um sicherzustellen, dass Sie wissen, was Sie tun.

Behalten Sie die Kontrolle über BSOD-Fehler mit Atera

Die Behebung von IRQL_NOT_LESS_OR_EQUAL-Fehlern, die durch „ntoskrnl.exe“ verursacht werden, ist selten einfach, lässt sich jedoch besser bewältigen, wenn man sie als systematische Untersuchung und nicht als Ratespiel betrachtet. Das bedeutet eine gründliche Vorbereitung, eine methodische Diagnose und das Vorgehen von den sichersten bis hin zu den komplexesten Maßnahmen.

Für IT-Teams, die Dutzende oder Hunderte von Endgeräten verwalten, ist es unrealistisch, diese Schritte manuell auf jedem betroffenen Rechner durchzuführen. Die All-in-One-Plattform von Atera bietet Technikern die Werkzeuge, um IRQL-Probleme in großem Maßstab anzugehen, beispielsweise indem sie den KI-Copiloten dazu bringen, umfassende PowerShell-Skripte aus Abfragen in natürlicher Sprache zu generieren, PowerShell-Treiberprüfungen über die gesamte Flotte hinweg mit der RMM-Plattform aus der Ferne durchzuführen, BIOS-Versionen zu verfolgen, um Firmware mit Absturzmustern zu korrelieren, und Schwellenwertwarnungen einzurichten, um Interrupt-Anomalien zu erkennen, bevor sie zu Bluescreens führen.

Wenn Instabilitäten auf Kernel-Ebene gleichzeitig auf mehreren Endpunkten auftreten, macht eine zentralisierte Plattform, die Diagnose, Fernzugriff und automatisierte Fehlerbehebung an einem Ort vereint, den Unterschied zwischen einer kontrollierten Reaktion und einer umfassenden Krise aus.

»Testen Sie Atera kostenlos, um zu sehen, wie es Ihre Abläufe optimieren kann.