# Wenn sich eine Mac-App nicht deinstallieren lässt: sieben Ursachen, je ein Symptom
> Sie ist in Benutzung, sie kommt nach dem Löschen zurück, gar nichts passiert, oder sie ist ausgegraut. Jedes Symptom weist auf genau eine Ursache hin, von einem laufenden Helper über launchd, SIP, App-Verwaltung bis MDM.
Published: 2026-08-18 | Updated: 2026-08-22
Ein gescheitertes Deinstallieren unter macOS ist nicht ein einziges Problem. Der Finder kann
sich weigern, das Bundle zu verschieben. Das Verschieben kann klappen, und die App ist beim
nächsten Login trotzdem wieder da. Das Bundle kann verschwinden, während der Helper, der Sie
gestört hat, weiterläuft. Jeder Fall hat einen eigenen Mechanismus und eine eigene Lösung,
deshalb starten Sie bei dem, was Ihr Mac tatsächlich getan hat. Für den normalen Ablauf siehe
[Apps vollständig deinstallieren](https://mole.fit/de/blog/how-to-completely-uninstall-apps-on-mac); was hier
folgt, setzt voraus, dass das bereits fehlgeschlagen ist.
## Beim Symptom anfangen
Der genaue Wortlaut der Verweigerung ist die Diagnose. Zwei der sechs Fälle zeigen überhaupt keinen Dialog, weshalb sie oft als kaputtes Werkzeug missverstanden werden.
- **„Element kann nicht in den Papierkorb gelegt werden, weil es geöffnet ist."** Irgendetwas
läuft noch, oft nicht die App, die Sie beendet haben.
- **Sie haben sie gelöscht, und sie ist wieder da.** Ein launchd-Job, ein Profil oder ein
Paketmanager hat sie zurückgeholt.
- **Der Finder fragt nach einem Administratorkennwort.** Ein `.pkg` hat das Bundle im Besitz
von Root hinterlassen. Normal.
- **Nichts passiert. Kein Dialog, kein Fehler.** Die App-Management-Berechtigung ist
verweigert.
- **`rm` sagt als Root „Operation not permitted".** System Integrity Protection.
- **Ausgegraut, oder sie taucht auf einem Arbeits-Mac wieder auf.** Ein Konfigurationsprofil
oder MDM verwaltet sie.
## 1. Die App oder einer ihrer Helfer läuft noch
Der Finder weigert sich, ein Bundle zu verschieben, dessen Dateien geöffnet sind, und wenn Sie
den sichtbaren Prozess beenden, stoppt das nicht alles, was die App gestartet hat. Die
Aktivitätsanzeige listet jeden Prozess, nicht nur die mit einem Fenster. Suchen Sie nach dem
Herstellernamen und lesen Sie sich das ganze Ergebnis durch: Eine App namens Foo bringt oft
`Foo Helper`, einen `FooUpdater` und ein Anmeldeobjekt mit einem völlig anderen Anzeigenamen
mit. Das Fenster unter **Apple-Menü > Sofort beenden** ist kein Ersatz dafür, weil es nur
Anwendungen mit einer sichtbaren Oberfläche auflistet.
```
pgrep -fl -i foo
lsof +D /Applications/Foo.app 2>/dev/null | awk '{print $1, $2}' | sort -u
```
`pgrep -fl` prüft die komplette Befehlszeile und erwischt damit auch einen Helper, dessen
ausführbarer Pfad den Herstellernamen trägt, selbst wenn der Prozessname es nicht tut.
`lsof +D` zeigt jeden Prozess, der eine Datei innerhalb des Bundles offen hält.
Den Hauptprozess erzwungen zu beenden stoppt einen Helper nicht zuverlässig. Ein Helper ist
ein eigenständiger Prozess mit eigener PID, das Beenden des Hauptprozesses macht ihn also zur
Waise, sofern der Hauptprozess ihn beim Beenden nicht selbst mit abräumt. Und wenn launchd den
Helper verwaltet, sagt das Beenden von beiden launchd nur, ihn erneut zu starten. Darum geht
es im nächsten Abschnitt.
Auch eine Schnellansicht-Vorschau oder die Spotlight-Indizierung kann Dateien im Bundle offen
halten, ein Neustart räumt beides auf. Kommt die Meldung danach wieder, empfiehlt Apples
[Anleitung zum Entfernen von Apps](https://support.apple.com/guide/mac-help/mh35835/mac) den
abgesicherten Modus.
## 2. Ein launchd-Agent oder -Daemon holt sie zurück
Das ist der Fall „ich habe sie gelöscht und sie ist zurückgekommen", und er wird am häufigsten
falsch diagnostiziert: Leute schauen in die Aktivitätsanzeige, sehen nichts und schließen
daraus, dass die App nicht lief. Bedarfsgesteuertes Starten bedeutet, dass das kein Beweis ist.
launchd überwacht Hintergrundjobs. Ein Job ist eine Property-List mit einem `Label`, einem
Programm und Bedingungen dafür, wann er läuft. `RunAtLoad` startet ihn, sobald der Job geladen
wird, `KeepAlive` startet ihn nach jedem Beenden neu. Ein Job ohne beides kommt trotzdem
zurück: `MachServices`, `Sockets`, `WatchPaths`, `QueueDirectories` und `StartInterval` lassen
launchd den Prozess in dem Moment starten, in dem irgendetwas danach fragt, sodass ein Helper,
der nach zehn Sekunden Leerlauf beendet wird und über seinen Mach-Dienst wieder anspringt, bei
jeder Prüfung abwesend wirkt.
Definitionen liegen an drei Orten. `~/Library/LaunchAgents` gehört nur Ihrem Benutzer,
innerhalb Ihrer Anmeldesitzung; `/Library/LaunchAgents` läuft für jeden Benutzer beim Login;
und `/Library/LaunchDaemons` läuft systemweit als Root, noch bevor sich irgendjemand anmeldet,
weshalb ein Daemon eine manuelle Deinstallation oft übersteht und ein Agent oft nicht.
`/System/Library/Launch*` gehört Apple und ist geschützt.
```
launchctl list | grep -i foo
launchctl print-disabled gui/$(id -u) | grep -i foo
grep -l -i foo ~/Library/LaunchAgents/*.plist /Library/LaunchAgents/*.plist \
/Library/LaunchDaemons/*.plist 2>/dev/null
```
In `launchctl list` läuft ein Label mit PID gerade jetzt, eines mit einem Strich ist geladen
und wartet auf einen Auslöser; `print-disabled` liest die dauerhafte Datenbank der
deaktivierten Zustände, eine eigene Tatsache, unabhängig davon, ob eine Plist existiert. Lesen
Sie den Kandidaten mit `plutil -p ` und prüfen Sie, ob `Program` oder
`ProgramArguments` auf die App zeigt, die Sie entfernen: Hersteller benennen die Datei nicht
immer nach dem Label darin.
### Auf die Reihenfolge kommt es an
Stoppen und deaktivieren Sie den Job zuerst, entfernen Sie dann die Plist, entfernen Sie erst
danach die App.
```
launchctl bootout gui/$(id -u)/com.vendor.foo.helper
sudo launchctl bootout system/com.vendor.foo.daemon
launchctl disable gui/$(id -u)/com.vendor.foo.helper
```
Löschen Sie die Plist, während der Job noch geladen ist, behält launchd einen Dienst, dessen
Definition auf der Platte gar nicht mehr existiert; er läuft bis zum nächsten Neustart weiter
und kann einen veralteten Eintrag in der Datenbank der deaktivierten Zustände hinterlassen.
Die App zuerst zu entfernen ist schlimmer: Der Job startet immer wieder gegen eine fehlende
ausführbare Datei neu und scheitert in einer Schleife, und genau daher kommt das Phänomen
„sie ist weg, taucht aber noch bei den Anmeldeobjekten auf".
Ab macOS 13 registrieren sich Apps über
[`SMAppService`](https://developer.apple.com/documentation/servicemanagement/smappservice),
und diese Registrierungen liegen im App-Bundle selbst, sodass es unter Umständen gar keine
Plist zu finden gibt. Sie gehören zur Hintergrundaktivitätsverwaltung, die Sie in
**Systemeinstellungen > Allgemein > Anmeldeobjekte & Erweiterungen** steuern
([Leitfaden zu Anmeldeobjekten](https://mole.fit/de/blog/how-to-disable-startup-programs-on-mac)).
## 3. Es ist eine durch SIP geschützte Systemanwendung
System Integrity Protection ist eine Richtlinie auf Kernel-Ebene, kein Berechtigungs-Bit.
Apple beschreibt es so, dass Kernel-Berechtigungen die Schreibbarkeit kritischer
Systemdateien einschränken, angewendet „auf jeden auf dem System laufenden Prozess,
unabhängig davon, ob dieser Prozess in einer Sandbox oder mit Administratorrechten läuft"
([Apple Platform Security](https://support.apple.com/guide/security/system-integrity-protection-secb7ea06b49/web)).
Seit Big Sur liegt der Systeminhalt zusätzlich auf einem eigenen, kryptografisch versiegelten
Volume. `csrutil status` zeigt an, ob der Schutz aktiv ist, und Apple sagt ausdrücklich, dass
man „Apps, die für den Mac erforderlich sind" nicht entfernen kann, eine Gruppe, zu der Mail,
Musik, Bücher, Notizen, Podcasts, Karten, Nachrichten und Aktien gehören.
SIP abzuschalten, nur um ein einziges Bundle zu löschen, ist ein schlechter Tausch. Das
bedeutet, im Wiederherstellungsmodus zu starten und eine maschinenweite Sicherheitsrichtlinie
zu ändern; auf Intel-Macs entfernt das laut Apple den Schutz für jede Partition des
physischen Speichergeräts, und auf Apple-Silicon-Macs verlässt der Mac dabei die vollständige
Sicherheit. Der Gewinn hält auch nicht an: Das Systemvolume wird beim nächsten macOS-Update
komplett ersetzt, und es wird kein nutzbarer Speicherplatz frei.
Besser: Ziehen Sie das Symbol aus dem Dock, entfernen Sie den Eintrag unter
**Systemeinstellungen > Allgemein > Anmeldeobjekte & Erweiterungen**, und wenn die App
weiterhin Ihre Dateien öffnet, ändern Sie den Standard-Handler über
**Informationen > Öffnen mit > Alle ändern**.
## 4. Sie wurde durch MDM oder ein Konfigurationsprofil installiert
Auf einem verwalteten Mac kann eine App nach dem Zeitplan des Verwaltungsservers erneut
ausgerollt werden, und ein Profil kann als nicht entfernbar markiert sein. Die Symptome sind
eine Entfernung, die sich Stunden später von selbst rückgängig macht, ein ausgegrautes
Bedienelement, oder eine launchd-Suche, die nichts findet, weil die Neuinstallation von außen
gesteuert wird. Prüfen Sie **Systemeinstellungen > Allgemein > Geräteverwaltung**; fehlt
dieser Abschnitt, ist der Mac nicht verwaltet, und das ist nicht Ihre Ursache.
```
profiles status -type enrollment
sudo profiles list
```
Der erste Befehl zeigt die Registrierung über Automated Device Enrollment und ob sie vom
Benutzer bestätigt wurde; der zweite listet installierte Profile auf und braucht
Root-Rechte. Fragen Sie danach die IT-Abteilung. Apples Empfehlung lautet, bei demjenigen
nachzufragen, der ein Profil bereitgestellt hat, das Sie nicht entfernen können, und Apple
warnt ausdrücklich davor, dass das Entfernen eines Profils alles löscht, was dieses Profil
konfiguriert hat, ein Profil mit Ihrem Mail-Konto nimmt dieses also gleich mit.
## 5. Besitzverhältnisse und die Berechtigung, die stumm scheitert
**Der Finder fragt nach einem Administratorkennwort.** Ganz normal. Ein `.pkg`-Installer läuft
als Root und hinterlässt das Bundle im Besitz von Root, das Verschieben braucht deshalb eine
Authentifizierung. Bestätigen können Sie das mit `ls -ld /Applications/Foo.app`. Wo wir schon
dabei sind, lohnt sich ein Blick auf die Installationsquittungen: `pkgutil --files `
listet die Pfade auf, die ein Paket angelegt hat, und `sudo pkgutil --forget ` entfernt
die Quittung aus `/private/var/db/receipts`, ohne auch nur eine einzige Datei zu löschen.
**Es passiert überhaupt nichts.** Keine Abfrage, kein Fehler, die App liegt noch immer in
`/Applications`, und das Werkzeug, das Sie benutzt haben, meldet einen vagen Fehler oder
weicht auf etwas anderes aus. Auf macOS 14 und neuer ist das meist die App-Verwaltung, die
Apple als „Apps erlauben, andere Apps auf dem Mac zu aktualisieren oder zu löschen"
beschreibt. Der Verräter: Der Pfad ist POSIX-technisch beschreibbar, und der Schreibvorgang
scheitert trotzdem:
```
test -w /Applications/Foo.app && echo "posix says yes"
```
Erscheint diese Ausgabe und das Entfernen klappt trotzdem nicht, sind es nicht die
Dateiberechtigungen. Gehen Sie zu **Systemeinstellungen > Datenschutz & Sicherheit >
App-Verwaltung**, aktivieren Sie dort die App, die die Entfernung durchführt, und starten Sie
sie danach neu, denn viele Apps prüfen die Berechtigung nur beim Start.
## Im Detail: drei Verweigerungen, die gleich aussehen
POSIX-Berechtigungen sind das erste Tor: Das Bundle gehört Root, Sie nicht, und `sudo` löst
das, weil die Prüfung sich nur dafür interessiert, welcher Benutzer Sie sind. TCC, die
Datenschutz-Ebene hinter den Systemeinstellungen, entscheidet erst, nachdem POSIX das
durchgelassen hat. Die App-Verwaltung ist ein TCC-Tor für genau eine Operation, das Ändern
oder Löschen des Bundles einer anderen App. Administrator zu sein reicht dafür nicht, `sudo`
genauso wenig, weil das Tor am anfragenden Programm hängt und nicht am Benutzer, weshalb die
Verweigerung als generischer Fehler ohne jede Abfrage auftauchen kann.
SIP liegt unter beiden und verweigert selbst Root rundheraus. Eine POSIX-Verweigerung setzt
`EACCES` und meldet `Permission denied`; eine SIP-Verweigerung setzt `EPERM` und meldet
`Operation not permitted`. Das eine heißt: Versuch es mit mehr Rechten noch mal, das andere
heißt: Es gibt keine Rechte, mit denen es noch mal ginge.
## 6. Eine Systemerweiterung oder ein Netzwerkfilter ist noch aktiv
Sicherheitssoftware, VPN-Clients und Virtualisierungsprodukte installieren
Systemerweiterungen. Das App-Bundle registriert die Erweiterung, es ist aber nicht die
Erweiterung selbst. Löschen Sie den Container, während die Erweiterung noch aktiv ist, bleibt
die Registrierung ohne Besitzer zurück, und genau so filtert ein Mac weiter Netzwerkverkehr
durch Software, die Sie eigentlich für entfernt halten.
```
systemextensionsctl list
```
Die Ausgabe zeigt Team-ID, Bundle-ID und einen Status wie `[activated enabled]`. Die
Deaktivierung gehört zur enthaltenden App und braucht oft einen Neustart, führen Sie deshalb
zuerst den Deinstaller des Herstellers aus.
[Antivirus unter macOS deinstallieren](https://mole.fit/de/blog/how-to-uninstall-antivirus-mac) beschreibt die
richtige Reihenfolge für diese Softwareklasse.
## 7. Sie stammt aus dem App Store oder von Homebrew
**Apps aus dem Mac App Store.** Das Bundle zu löschen entfernt nicht den Kauf. Was Leuten
dabei zum Verhängnis wird, ist die Einstellung, die Apple als „Vom App Store gekaufte Apps
automatisch auf anderen Mac-Computern und -Geräten laden" beschreibt: Hat ein zweiter Mac mit
demselben Account die App noch installiert, kann diese Einstellung sie zurückholen. Schalten
Sie sie in **App Store > Einstellungen** aus.
**Homebrew Casks.** Haben Sie mit `brew install --cask foo` installiert, glaubt Homebrew nach
dem Verschieben der App in den Papierkorb weiterhin, sie sei installiert. `brew list --cask`
zeigt den Token weiter an, und das nächste `brew upgrade` kann die gerade gelöschte App neu
installieren, eine echte „sie ist zurück"-Ursache ganz ohne launchd-Job. Führen Sie
stattdessen `brew uninstall --cask foo` aus. Homebrews Manpage beschreibt `--zap` als das
Entfernen „aller mit einem Cask verbundenen Dateien" und warnt, dass es „Dateien entfernen
kann, die zwischen Anwendungen geteilt werden", greifen Sie also nur bewusst dazu.
## Nach dem erfolgreichen Löschen: was übrig bleibt
**Anmeldeobjekte & Erweiterungen listet sie noch.** Entweder ein Eintrag „Bei der Anmeldung
öffnen", der auf einen fehlenden Pfad zeigt, oder ein Datensatz der
Hintergrundaktivitätsverwaltung für einen Dienst, dessen Programm nicht mehr existiert.
Entfernen Sie ihn mit dem Minus-Knopf unter
**Systemeinstellungen > Allgemein > Anmeldeobjekte & Erweiterungen**; macOS räumt das nach
einem Neustart oft von selbst auf.
**Beim Start erscheint ein Menüleistensymbol.** Irgendetwas lädt noch eine ausführbare Datei:
meist ein Launch-Agent, den Sie nie entfernt haben, oder ein Helper, den der Installer nach
`~/Library/Application Support/` kopiert hat.
**Ein privilegierter Helper überlebt.** Software, die Root-Rechte brauchte, installiert nach
`/Library/PrivilegedHelperTools/
