# Unbekannte Mac-Prozesse untersuchen > Prozessbesitzer, Pfad, Elternprozess, Signatur, Ressourcenverlauf, offene Dateien und eine Prozessprobe nutzen statt nur nach dem Namen zu urteilen. Published: 2026-06-16 | Updated: 2026-08-08 Activity Monitor zeigt Apps, Helpers, Agents, Daemons und Systemdienste. Ein bekannter oder kryptischer Name allein ist ein schwaches Indiz: Software kann generische Namen teilen, und Malware kann einen nachahmen. Beurteilen Sie einen Prozess anhand von Eigentümer, ausführbarem Pfad, Parent, Codesignatur, Ressourcenverlauf und der Aktion, die ihn ausgelöst hat. Wählen Sie **Darstellung > Alle Prozesse**, damit die Liste nicht auf Ihr Konto beschränkt ist. Fügen Sie nützliche Spalten wie Benutzer, CPU-Zeit, Threads und Typ hinzu. Doppelklicken Sie einen Prozess, um Parent, geöffnete Dateien und Ports sowie aktuelle Statistiken zu prüfen. Apples [Activity-Monitor-Handbuch](https://support.apple.com/guide/activity-monitor/actmntr1001/mac) bietet außerdem hierarchische und Systemprozess-Ansichten. **Prozess sampleln** erfasst für kurze Zeit, was die Threads tun, wenn der Prozess hängen wirkt, ohne ihn sofort zu beenden. ## Die Prozesse, die die meisten beunruhigen - **kernel_task** ist der Kernel selbst; hohe CPU-Last kommt meist daher, dass macOS einen heißen Chip kühlt, siehe [kernel_task high CPU](https://mole.fit/de/blog/kernel-task-high-cpu-mac). - **WindowServer** zeichnet den Bildschirm; die Last steigt mit Displays und Fenstern, siehe [WindowServer high CPU](https://mole.fit/de/blog/windowserver-high-cpu-mac). - **mds, mds_stores, mdworker** indizieren Ihre Dateien für Spotlight, siehe [mds and mdworker high CPU](https://mole.fit/de/blog/mds-mdworker-high-cpu-mac). - **Google Chrome Helper**-Prozesse sind Tabs und Erweiterungen von Chrome, siehe [Chrome Helper high CPU](https://mole.fit/de/blog/google-chrome-helper-high-cpu-mac). ## Die Hintergrund-Daemons, die Sie nicht gestartet haben Diese laufen von allein und sind fast immer unbedenklich: - **launchd** ist der erste Prozess, den macOS startet, und der Parent jedes Dienstes. Er läuft immer; das ist seine Aufgabe. - **trustd** prüft Zertifikate und App-Signaturen, wenn Apps starten oder sichere Verbindungen aufbauen. Kurze Spitzen beim Öffnen einer App sind normal. - **nsurlsessiond** übernimmt Hintergrund-Netzwerkübertragungen: iCloud, App-Downloads, Updates. Er wird aktiv, während etwas synchronisiert oder heruntergeladen wird, und beruhigt sich danach. - **cloudd** und **bird** führen die iCloud-Synchronisation aus. Sie arbeiten intensiv nach dem Anmelden oder wenn viele Dateien zu iCloud hinzukommen, und werden danach ruhig. - **coreaudiod** ist die System-Audio-Engine. Er sollte leicht belastet sein; anhaltend hohe CPU deutet manchmal auf eine problematische Audio-App oder ein Plug-in hin. - **photoanalysisd** analysiert Fotoinhalte für Funktionen wie Personen und Objekte. Die Planung ist opportunistisch und kann von Strom, thermischem Zustand und Arbeit an der Mediathek abhängen. - **backupd** ist Time Machine bei einer Sicherung. Erwarten Sie Aktivität, solange eine Sicherung läuft. - **syspolicyd** hilft, Systemsicherheitsrichtlinien durchzusetzen, einschließlich der App-Bewertung. Ein Spike bei Installation oder erstem Start einer App hat Kontext; anhaltende, unzusammenhängende Arbeit verdient trotzdem Messung. ## Normal oder hängend: ein Muster, kein Timer Achten Sie auf Korrelation und Fortschritt. Ein Prozess, der nach dem Öffnen einer App, dem Anschließen eines Laufwerks oder dem Start einer Synchronisation ansteigt, dann Arbeit erledigt und sich wieder beruhigt, verhält sich plausibel. Anhaltende CPU ohne Fortschritt, rasch wachsender Speicher, wiederholte Abstürze oder ein Spike nach demselben Auslöser verdienen Untersuchung. Vergleichen Sie ein Sample, Aktivität geöffneter Dateien und Protokolle, bevor Sie den Prozess per Force Quit beenden. Viele Systemdienste starten neu, weil die anfragende App oder die Launch-Richtlinie sie weiterhin braucht. Bei Drittanbieter-Software prüfen Sie, ob der ausführbare Pfad in der erwarteten App oder im Support-Verzeichnis des Anbieters liegt und die Signatur zu diesem Anbieter gehört. Bei Apple-Diensten ist das Ändern oder Löschen der Launch-Konfiguration selten die Lösung; identifizieren Sie den Client, den Dateisatz, das Gerät oder die Netzwerkoperation, die den Dienst speist. ## Unter der Haube: launchd und On-Demand-Dienste Dass es so viele Daemons gibt, liegt an launchd, dem ersten Prozess, den macOS startet (PID 1), und dem Parent von allem anderen. Die meisten dieser Hintergrundprozesse laufen nicht ständig: launchd registriert sie und startet sie bei Bedarf, wenn ein passendes Ereignis eintritt – eine sichere Verbindung, die trustd braucht, eine Datei für einen Importer, eine XPC-Nachricht von einer App – und lässt sie danach wieder in den Leerlauf gehen. Deshalb verändert sich die Liste, während Sie arbeiten, und deshalb bringt Force Quit oft nichts: launchd startet den Prozess beim nächsten Auslöser neu. Das verändert den Blick auf die ganze Liste. Sie sehen keine Programme, die jemand bewusst gestartet hat, sondern einen Pool kleiner Dienste, die das System startet und stoppt, sobald Arbeit ankommt – genau deshalb ist das Verhalten über die Zeit, nicht bloße Anwesenheit, das Signal, dass etwas nicht stimmt.
launchd in der Mitte startet kleine Dienste bei Bedarf, wenn Trigger eintreffen: eine Verbindung, eine Datei, eine XPC-Nachricht, und lässt sie auslaufen, sodass die laufende Menge sich über die Zeit verschiebt
launchd startet die meisten Daemons bei Bedarf über einen Auslöser und lässt sie danach wieder in den Leerlauf gehen – deshalb verändert sich die Prozessliste während der Arbeit und deshalb führt Force Quit meist nur dazu, dass launchd den Prozess neu startet.
## Wo eine Erklärungsebene hilft Activity Monitor liefert die maßgebliche Prozess- und Inspektordaten. Die Status-Ansicht von [Mole](https://mole.fit/) kann verständlichen Kontext und Trends ergänzen, aber eine Erklärung nur aufgrund eines Namens ist lediglich eine Ausgangshypothese. Pfad, Eigentümer, Signatur und Verhalten entscheiden, ob der aktuelle Prozess der erwartete ist. ## Eine wiederholbare Prozessprüfung Notieren Sie Prozessname, Benutzer, Pfad, Parent, Signatur, CPU- und Speicherverlauf, geöffnete Dateien und Auslöser. Samplen Sie ihn, während das Problem auftritt, und beenden Sie die anfragende App oder Eingabe, bevor Sie den Daemon anfassen. Diese Methode unterscheidet gewöhnliche Hintergrundarbeit, einen hängenden Vendor-Helper und einen nachgeahmten Namen deutlich besser als eine reine Liste von Prozessdefinitionen. --- Canonical HTML page: https://mole.fit/de/blog/mac-processes-explained Blog index for agents: https://mole.fit/de/blog/llms.txt Site index for agents: https://mole.fit/llms.txt