lsass.exe Fehler beim logon, trotz Backup einspielen

[BlueMarlin 10]

Hi@all,

 

vielleicht könnt ihr mir in diesem Forum bei diesem sehr seltsamen und für mich komplett unlogischem Problem helfen?

 

Vorweg zum System: Seit einigen Monaten habe ich einen komplett neuen PC, Raid0 und habe darauf mehrere Partitionen:

1. Partition: neues XP - wenn aus diesem gebootet ist es LW J, pri

2. Partition: reserviert für Win 7, leer, pri

3. Partition: altes XP aus welchem ich momentan schreibe, LW C, pri & act

4. Partition: Daten, logisch

 

Das "alte XP" habe ich mit einem universal restore (Acronis) 1:1 vom alten PC übernommen und ist WinXP Prof. SP2 mit aktuellsten Treibern. Das "neue" (komplett neu augesetzte XP vom Juli) ist WinXP Prof. SP3 mit aktuellsten Treibern, beide 32bit. Auf beiden befindet sich eine Ramdisk da ich 4 GB Ram habe. AV ist Kaspersky und ist alles aktiviert.

 

Das System läuft seit Beginn absolut stable (auch 12h mit prime getestet), die Temperaturen liegen alle mehr als im grünen Bereich (insgesamt 5 Lüfter plus CPU-Lüfter Mugen), und die Hardware habe ich auf Herz und Nieren getestet und funktioniert "scheinbar" einwandfrei.

 

Am Samstag habe ich nach etwa 3-4 Tagen wieder einmal ein reboot gemacht, und wenn der Startvorgang etwa dort ist, wo die Anmeldung kommen sollte (bei mir automatisch, also ohne Passworteingabe), dann kommt die Fehlermeldung, dass lsass.exe einen Fehler verursacht (immer mit dem Hinweis 0xc015000f). Klicke ich auf OK, dann kommt noch einmal die Fehlermeldung und dann bleibt der Bildschrim schwarz und nichts tut sich. Na da hab ich mal **** aus der Wäsche gschaut.

 

In den 3-4 Tagen seit dem letzten reboot habe ich weder im Bios noch sonst etwas an der Hardware verändert (eigentlich schon sehr lange nicht mehr), und nur einige Games installiert bzw. auch teilweise de-installiert, sowie den aktuellsten ATI GraKa Treiber installiert. Ich dachte zuerst an einen Softwarefehler, und in so einem Fall nehme ich ein Acronis Backup und hab 10 min später das System vom Vortag (habe ich in den letzten Monaten öfter Mal gemacht). Njet - wieder der Fehler. Also gut, nächstes Backup usw usw bis zurück zu meinem "1st" Backup, also ganz frische Installation aus dem Juli, welches zu 100% funktioniert - wieder lsass.exe Fehler!

 

Puhh dachte ich, also wenn es ein Softwarefehler ist, dann wäre der ja mit einem Backup bereinigt (ebenso bei Virus usw.). Also boote ich in meine "alte" WinXp Installation von der anderen Partition da ich auf einen Hardwarefehler tippte (zB Ram), und siehe da, ich komme problemlos rein? Es funktioniert auch "scheinbar" alles, also im Gerätemanager sicherheitshalber nachgesehen und einige Schnell-Tests gemacht (auch prime 12h), alles einwandfrei.

 

Was habe ich noch versucht:

1) In diese Partition wo der Fehler auftritt eine frische XP Installation - funktioniert

2) Dort wo das alte XP liegt eine frische XP Installation (wegen boot.ini und ntdlr) - und dann versucht ins fehlerhafte XP rein - wieder lsass Fehler

3) Virenscan und auch speziell nach Sasser, auch mit Avira BootCD - nichts

4) Abgesicherter Modus genau die gleiche Fehlermeldung

 

Übrigens seltsam: bei einem der ganz alten backups kommt keine lsass Fehlermeldung, jedoch hängt das System genau an der gleichen Stelle?

 

Ich verstehe es einfach nicht. Das Backup hätte ja jeglichen Softwarefehler/Virus usw. beseitigen müssen - aber woran kann es liegen? Hatte jemand von euch schon ein Problem mit der lsass.exe?

Diese Neuinstallation war die aufwendigste in meinem Leben :-( und ich benötige sie auch beruflich, bin echt am verzweifeln...

bearbeitet 1. Oktober 2009 von BlueMarlin
abges. Modus hinzugefügt

[olc 18]

Hi BlueMarlin und willkommen an Board, :)

 

findest Du eventuell Einträge im Ereignisprotokoll (System und Applikation), die auf Fehler hinweisen?

 

LSASS-Abstürze werden oft entweder durch Zusatzsoftware oder aber durch Viren / Trojaner etc. verursacht. Von daher würde ich in jedem Fall einmal einen Offline-Scan durchlaufen lassen, etwa mit Knoppicillin o.ä.

 

Deaktiviere einmal alle nicht-Microsoft Autostarts und ggf. nicht-Microsoft Dienste (Du kannst z.B. Autoruns nutzen, wenn Du weißt, was Du tust, oder msconfig32.exe). Tritt das Problem danach immer noch auf?

 

Viele Grüße

olc

[BlueMarlin 10]

Hallo olc, und danke für die schnelle Antwort :)

 

Ich habe einen offline Test mit der aktuellen Antivir BootCD gemacht, ebenso mit einem Sasser Removal tool und natürlich auch mit Kaspersky gescannt (alles aus dem alten funktionierendem Windows heraus), kein Ergebnis.

 

Unabhängig davon ist ja der für mcih unerklärliche Umstand jener, dass nicht einmal mein allererstes Backup, wo noch so gut wie keine Software installiert ist, nicht funktioniert. Wie schon beschrieben habe ich ja schon manchmal ein Backup einspielen müssen, weil ich zB irrtümlich eine wichtige Datei gelöscht habe, oder eine Software ausprobierte, die jedoch nicht alles zurück geändert hatte. Das war bisher nie ein Problem.

 

Wie kann ich auf dem anderen System die Autostarteinträge beeinflussen? Wenn ich zB autoruns nutze, wird mir ja nur das System angezeigt, in welchem ich mich befinde. Ins neue Windows mit dem lsass Fehler komme ich ja nicht Mal mit dem abgesicherten Modus, denn auch da kommt diese lsass Meldung (vielleicht gibt das ja Aufschluss darüber).

[olc 18]

Hi,

 

ok, verstehe. Ich dachte Du kommst zumindest eine Weile lang an das betroffene System. Dann wird es schwierig - Du könntest zwar die Registrierung des offline Systems laden und dort die Änderungen manuell durchführen, aber das ist eine Menge Arbeit, weil Autostarts an sehr vielen Stellen im System hängen.

 

Hattest Du auch eine Reparaturinstallation des Systems probiert?

 

Viele Grüße

olc

[BlueMarlin 10]

Hi,

 

ich habe selbst in den letzten Jahren schon einige Male eine Reparaturinstallation versucht, immer ergebnislos, zusätzlich auch schon sehr oft über die negativen Erfahrungen anderer gelesen, deshalb nicht versucht.

Unabhängig dessen wird mir diese Option nciht angezeigt bei meiner Installations CD.

 

Da gehe ich lieber den "schwierigen" Weg. Gibt es nicht ein tool, mit dem ich die registry des anderen Systems auslesen kann und welches mir die Autostarteinträge anzeigt bzw. wo ich die halbwegs einfach ändern kann? Das ist doch die Datei system.dat oder?

[olc 18]

Hi,

 

die Autostarts der Benutzer sind nicht relevant, wenn der Fehler schon vor dem Login stattfindet. Du müßtest also die Starttypen der nicht-MS Dienste verändern. Das kannst Du in der Recovery Konsole erledigen, die die CD mitbringen sollte.

 

Dort schaust Du nach nicht standardmäßig installierten Diensten und deaktivierst diese testweise einmal - notiere Dir am besten, welche Dienste mit welchen Starttypen Du bearbeitet hast.

 

Wie sieht es mit den Eventlogs aus? Die kannst Du recht problemlos remote laden.

 

Aber ich würde es in jedem Fall noch einmal mit einer Reparaturinstallation versuchen. Die LSASS-Fehler sind schwerwiegende Fehler, die meiner Erfahrung nach meist nicht mit ein, zwei Handgriffen behoben werden können.

 

Viele Grüße

olc

[BlueMarlin 10]

Hi,

 

Du müßtest also die Starttypen der nicht-MS Dienste verändern.

wie mache ich das genau? also Recovery Konsole ist klar, nur dann?

 

Wie sieht es mit den Eventlogs aus?

ist damit gemeint, wenn ich mit F8 in das Menü komme, dann auf "protokollieren" klicken? Das müsste dann die Datei ntbtlog.txt sein?

 

Reparaturinstallation: habe ich ein Problem, da die originale CD keine Raid Treiber hat, habe ich mir eine eigene mit den Raid-Treibern angefertigt, und dort kommt diese Option nicht - oder kann ich das anders lösen zB vom alten System aus?

[olc 18]

Hi,

 

schau einmal in den folgenden Artikel, der Beschreibt die möglichen Recovery Console Aktionen: Description of the Windows XP Recovery Console for advanced users

 

Für Dich ist DISABLE interessant - aber deaktiviere nur die Dienste, die nicht von Microsoft stammen. Siehe dazu auch: Microsoft Corporation

 

Eventlogs liegen im Verzeichnis: %SystemRoot%\System32\Config

Siehe dazu auch How to Delete Corrupt Event Viewer Log Files

 

Andere RAID Treiber kannst Du per Diskette nachladen, sollte Dein Rechner ein Diskettenlaufwerk haben. Erst ab Vista geht es mit USB-Stick.

 

Bei dem Thema: Ein Inplace Upgrade zum Beispiel auf Vista oder W7 könnte auch Erfolg haben. Aber ich vermute, das ist keine Option bei Dir, korrekt?

 

Ganz ehrlich: Du steckst jetzt wahrscheinlich eine Menge Zeit in die Wiederherstellungsversuche und ich vermute, daß diese nicht von Erfolg gekrönt sein werden. LSASS-Fehler sind heftig. Vielleicht macht es also doch eher Sinn, die Neuinstallation anzugehen - letztendlich bist Du vielleicht schneller. Auch wenn es weh tut. :(

 

Viele Grüße

olc

[BlueMarlin 10]

Hi,

 

vorweg mal Danke für die Mühen :)

 

Also mit listsvc kann ich die Services auflisten. Sind das nur die Dienste, die man auch in der "Verwaltung/Dienste" sieht, oder ALLE Dienste die beim Start geladen werden? Denn das sind ja hunderte (zB wenn ich mir das mit autoruns ansehe...).

 

Was ich jetzt noch nicht verstehe, wie ich einen Dienst auf "disable" setzen kann?

 

Das mit den Eventlogs habe ich bisher noch überhaupt nicht verstanden, Dr. Watson ist übrigens bei mir immer deaktiviert (wie viele andere Dinge, die man so gut wie nie benötigt).

 

In der Reparaturkonsole komme ich mit F10, genau dort wo man normalerweise F6 drückt, habe ich eben wo gefunden (muss man auch erst einmal wissen :D).

 

Win 7 möchte ich ohnedies, wenn es dann in Kürze endlich voll erhältlich ist, also nicht den RC. Du hast recht, einige Tage werde ich es jedoch noch versuchen, es stecken wirklich einige Wochen der Optimierung in diesem XP, sowohl vom Tuning als auch vom Design, einfach alles - so enorm viel Zeit habe ich noch nie für eine XP Install verwendet, genau deshalb versuche ich es zu retten.

 

Win 7 kommt zwar bald, jedoch bis ich mich damit mal "auskenne", dann die ganze Software neu konfigurieren, ein Teil meiner "gwohnten" tools wird gar nicht erst laufen, dann optimieren usw usw - also rechne ich nicht vor Mitte bis Ende November, bis es für mich betriebsbereit ist, falls es wirklich jetzt im Oktober erscheint (Umstieg von Office2003 auf 2007 kommt dann auch gleich hinzu). Dafür brauche ich jede Menge Zeit, die mein Berufsleben gerade im Herbst nicht bietet.

 

Ich denke wenn ich jeden Tag so wie momentan ca. 1-2 Stunden dafür verwende, das System wieder hinzubekommen, und auch wenn es 7 od. 10 Tage dauert, dann habe ich schon gewonnen :D

[olc 18]

Guten Abend,

 

vorweg mal Danke für die Mühen :)

 

Gern. :)

 

Also mit listsvc kann ich die Services auflisten. Sind das nur die Dienste, die man auch in der "Verwaltung/Dienste" sieht, oder ALLE Dienste die beim Start geladen werden? Denn das sind ja hunderte (zB wenn ich mir das mit autoruns ansehe...).

 

Es sind schon einige Dienste - schau einmal in die Liste, die ich oben verlinkt habe. Dort siehst Du die standard MS-Dienste. Alle andere, also etwa AV-Scanner, andere Software solltest Du testweise deaktivieren.

 

Was ich jetzt noch nicht verstehe, wie ich einen Dienst auf "disable" setzen kann?

 

Steht ebenfalls in einem der oben verlinkten Artikel. ;)

"DISABLE" ist der Befehl dafür.

 

Das mit den Eventlogs habe ich bisher noch überhaupt nicht verstanden, Dr. Watson ist übrigens bei mir immer deaktiviert (wie viele andere Dinge, die man so gut wie nie benötigt).

 

Du kopierst Dir die *.evt Dateien aus %SystemRoot%\System32\Config vom Fehlersystem auf Dein laufendes System und bindest die *.evt Dateien auf dem laufenden System in die Ereignisanzeige ein - dann kannst Du schauen, ob darin "interessante" Meldungen geloggt werden, die die Fehlerursache eingrenzen können.

 

Win 7 möchte ich ohnedies, wenn es dann in Kürze endlich voll erhältlich ist, also nicht den RC. Du hast recht, einige Tage werde ich es jedoch noch versuchen, es stecken wirklich einige Wochen der Optimierung in diesem XP, sowohl vom Tuning als auch vom Design, einfach alles - so enorm viel Zeit habe ich noch nie für eine XP Install verwendet, genau deshalb versuche ich es zu retten.

 

Ohne es böse zu meinen - aber hat vielleicht Deine "Optimierung" erst dafür gesorgt, daß das System jetzt nicht mehr läuft...?

 

Viele Grüße

olc

[BlueMarlin 10]

Guten Abend,

 

ok, also wenn es die Standard Dienste sind, habe ich kein Problem damit, die restlichen auszuschalten :D werde ich mal versuchen.

 

und bindest die *.evt Dateien auf dem laufenden System in die Ereignisanzeige ein

wie binde ich diese .evt Dateien ein? Denn im aktuellen Win sind ja sicher die gleichen Dateien vorhanden, also in den gleichen Ordner wird wohl nciht funktionieren?

 

hat vielleicht Deine "Optimierung" erst dafür gesorgt, daß das System jetzt nicht mehr läuft...?

ist natürlich naheliegend :D Jedoch habe ich seit Wochen nichts mehr optimiert, damals alles zig mal getestet und eben auch ausreichende Backups erstellt, falls mal eine Optimierung wirklich nicht funktioniert. Das ist ja das Mysterium, dass auch ältere Backups nicht funktionieren, die schon funktioniert haben! Wenn das ganze irgendwie logisch und nachvollziehbar wäre, dann hätten wir schon die Lösung :wink2: ...deshalb mache ich ja auch regelmäßige Backups - dachte nur nicht, dass mal ein Backup nichts mehr nützt...

[olc 18]

N'Abend,

 

wie binde ich diese .evt Dateien ein? Denn im aktuellen Win sind ja sicher die gleichen Dateien vorhanden, also in den gleichen Ordner wird wohl nciht funktionieren?

 

Auf keinen Fall versuchen, die Dateien auf dem laufenden System zu überschreiben. ;)

Du kannst einfach den Eventviewer normal öffnen, dann Rechtsklick auf die "Ereignisanzeige", danach "Öffnen" oder so ähnlich. Dann gibst Du den Pfad zu den *.evt Dateien des anderen Systems an.

 

Viele Grüße

olc

[BlueMarlin 10]

Wie befürchtet waren alle Dienste aufgelistet, also nicht nur jene, die man in der Verwaltung unter "Dienste" findet. Ich habe alle die auf automatisch waren und wo ich wußte, für was sie sind, deaktiviert (10 Dienste). Jedoch blieb der lsass Fehler. Muss dabei noch hinzufügen, dass ich generell nur sehr wenige Windows-Dienste aktiviert habe, es sind 11 oder 13 ;) insgesamt sind es jedoch 30 Dienste (zB schon mal 2 nur Kaspersky, 2 von Acronis, 2 von ATI GraKA), und dann noch einige kleine Helferlein wie zB Defrag tool, Vista Superbar usw - nichts wo ich mir vorstellen kann, dass es sich "verändert hätte" unabhängig der Tatsache, dass bei den alten Backups Vieles noch nicht dabei war.

 

Eventlog: einige der Dateien sind beschädigt wenn ich sie im Eventviewer betrachten möchte? Bei den anderen die ich einsehen kann, steht entweder gar nichts, oder das Datum ist aus der Zeit, als ich dieses WinXP neu aufgesetzt hatte.

 

Frage: gibt es nicht irgendwie ein aktuelles Protokoll bzw. kann ich eines erstellen lassen, welches mir anzeigt, wenn ich mit diesem lsass Fehler boote, wo der Fehler liegt oder warum es ihn gibt?

[BlueMarlin 10]

neue Erkenntnis - für mich ist es jetzt noch rätselhafter, jedoch für wen anderen vielleicht ein Weg zur Lösung.

 

Damals als ich im Juli das neue System aufsetzte, hatte ich auch zwischendurch ein Backup des ganzen Raid Systems gemacht, dieses Backup hatte ich bisher noch nicht berücksichtigt.

 

Nun aus Verzweiflung habe ich mit diesem Backup die ganze Festplatte überschrieben, also alle Partitionen, und es hat geklappt. Danach wieder das aktuelle Backup vom alten XP drauf, und es klappt noch immer alles. Nur sobald ich ein "standalone" Backup der neuen XP Install drüberspiele, kommt wieder der lsass Fehler.

 

Noch seltsamer ist es, da einige Backups kurz hintereinander gemacht wurden:

13.7. - Backup Part. neues XP - kein lsass Fehler, bleibt jedoch beim logon hängen

19.7. - Raid Backup funktioniert (auch wenn ich nur die eine Partition mit dem neuen XP zurückspiele

23.7. - Backup Part. neues XP - lsass Fehler (und alle Backups nachher ebenso

 

Das einzige was mir jetzt noch dazu einfällt wäre, dass ich das ganze Raid lösche, die Partitionen neu anlege (vielleicht sogar andere Größen?) und dann die Partitionen einzeln zurückspiele :rolleyes:

 

Zumindest würde ich mir mit diesem Backup vom 13.7. schon mal einige Tage ersparen, da schon die wichtigste Software installiert ist sowie konfiguriert ist, und auch schon optimal getunet (also Dienste usw usw).

Einen vollen Tag gebe ich noch der Problemlösung :(