Moin!
Das geht, sofern der Ereignisprotokolldienst nicht deaktiviert wurde und das System noch startet.
(ich vermute, wir reden von XP - bei Vista müsste das auch gelten)
Sieh in der Ereignisanzeige unter "System" nach dem vorletzten Ereignis mit dem Code 6005 (heißt: "Der Ereignisprotokolldienst wurde gestartet")
Dann musst du nur noch nach Datum und Uhrzeit sehen.
Gruß
Klaus