# Was ist XProtect auf dem Mac und warum verbraucht es CPU

> XProtect ist Apples eingebauter Virenschutz. Wann es läuft, wo es liegt, wie Sie die Version prüfen, was bei Dauerlast hilft und warum Sie es eingeschaltet lassen sollten.

Published: 2026-11-06 | Updated: 2026-11-09

XProtect ist der in macOS eingebaute Virenschutz. Apple beschreibt es als signaturbasierte Erkennung und Entfernung von Malware, und es läuft auf jedem aktuellen Mac ohne eigenes Symbol oder Fenster. Dass `XProtect`, `xprotectd` oder ein Prozess mit `XProtectRemediator` im Namen in der Aktivitätsanzeige steht, ist normal, und eine kurze CPU-Spitze bedeutet meist, dass es gerade eine App prüft oder einen geplanten Scan ausführt. Lassen Sie es laufen.

## Was es tut und wann

Apples [Leitfaden zum Malware-Schutz](https://support.apple.com/guide/security/protecting-against-malware-sec469d47bd8/web) beschreibt drei Teile:

| Teil | Was er tut |
| --- | --- |
| Signaturerkennung | Prüft Apps anhand von YARA-Signaturen, die Apple aktualisiert |
| Remediation-Engine | Entfernt bekannte Infektionen mithilfe von Updates von Apple und prüft regelmäßig weiter |
| Verhaltens-Engine | Erkennt unbekannte Malware an dem, was sie tut, und diese Daten verbessern die Signaturen |

Laut Apple prüft XProtect auf bekannte schädliche Inhalte, wenn eine App zum ersten Mal startet, wenn sich eine App im Dateisystem ändert und wenn seine Signaturen aktualisiert werden. Standardmäßig sucht macOS täglich nach diesen Updates, getrennt von Systemupdates. Aktivität ist also zu erwarten nach der Installation oder Aktualisierung einer App, nach einem Signatur-Update und gelegentlich ohne jede App im Spiel.

Findet es Malware, blockiert XProtect sie laut Apple, legt sie in den Papierkorb und warnt Sie im Finder. Es hat kein Fenster, in dem Sie einen Scan starten, denn so wurde es nicht entworfen.

## Wo es liegt

Apples Leitfaden nennt keine Pfade. Auf dem Mac, auf dem diese Seite geprüft wurde, liegen die Teile hier:

```text
/Library/Apple/System/Library/CoreServices/XProtect.app
/usr/libexec/xprotectd
/var/protected/xprotect/XProtect.bundle
```

`XProtect.app` enthält pro Malware-Familie, die es entfernt, ein Programm `XProtectRemediator…` mit Namen wie `XProtectRemediatorAdload`, weshalb die Aktivitätsanzeige einen Namen zeigen kann, den Sie nie gesehen haben. `/Library/Apple` trägt das Flag `restricted`, daher verhindert der Systemintegritätsschutz Änderungen, auch mit `sudo`.

So prüfen Sie Ihre installierte Version und den Update-Verlauf:

```bash
xprotect version
system_profiler SPInstallHistoryDataType | grep -A 4 XProtect
```

Wird der Befehl `xprotect` auf Ihrem macOS nicht gefunden, nutzen Sie die zweite Zeile, die es schon viel länger gibt.

## Wenn es CPU verbraucht

Eine Spitze nach der Installation oder dem Öffnen einer neuen App ist der erwartete Fall. Geben Sie ihm am Netzteil einige Minuten.

Bleibt die Last hoch:

1. Öffnen Sie die Aktivitätsanzeige, wählen Sie **Darstellung › Alle Prozesse** und sortieren Sie nach **% CPU**. Notieren Sie den genauen Namen und ob die Last gleichmäßig oder sprunghaft ist.
2. Prüfen Sie, ob die Datei wirklich von Apple stammt. Wählen Sie den Prozess aus und klicken Sie auf die Schaltfläche **i**, dann auf **Offene Dateien und Ports**. Das Programm sollte unter einem der obigen Pfade liegen.
3. Beenden Sie, was Sie gerade tun, starten Sie neu und beobachten Sie zehn Minuten lang erneut. Ein Neustart beendet einen hängenden Scan, und macOS plant den nächsten selbst.
4. Installieren Sie ausstehende macOS-Updates unter **Systemeinstellungen › Allgemein › Softwareupdate**.
5. Läuft es an den meisten Tagen stundenlang weiter, senden Sie Apple Feedback mit dem, was Sie gesehen haben. Notieren Sie, welche App Sie ungefähr zu der Zeit installiert haben, als es begann, denn eine App, deren Dateien sich ständig ändern, gibt XProtect mehr zu prüfen.

Bleibt die Langsamkeit, obwohl XProtect ruhig ist, hat sie eine andere Ursache; in [hohe CPU-Auslastung auf dem Mac](https://mole.fit/de/blog/mac-processes-explained) lesen Sie, wie Sie die Liste deuten.

## Reicht es allein

Es ist echter Schutz vor bekannter Malware und steht neben Gatekeeper und Notarisierung. Lassen Sie **Sicherheitsmaßnahmen und Systemdateien installieren** unter **Systemeinstellungen › Allgemein › Softwareupdate › Automatische Updates** eingeschaltet, denn auf diesem Weg kommen die Signatur-Updates an. Ein vollständiges Sicherheitsprodukt ist es nicht: Es gibt keinen Scan-Verlauf zum Nachlesen, keine Webfilterung und keine Schaltfläche für einen Scan auf Abruf. Ob Sie zusätzlich ein Produkt eines Drittanbieters wollen, hängt davon ab, was Sie tun und was Ihr Arbeitgeber verlangt. Wenn Sie eines entfernen, listet [So deinstallieren Sie ein Antivirenprogramm auf dem Mac](https://mole.fit/de/blog/how-to-uninstall-antivirus-mac) auf, was jedes zurücklässt.

## Was Sie nicht tun sollten

- Versuchen Sie nicht, es zu löschen oder auszuschalten. Die Ordner sind geschützt, und die Anleitungen, die das umgehen, verlangen, den Systemintegritätsschutz auszuschalten, was weit mehr kostet als eine CPU-Spitze.
- Erzwingen Sie sein Beenden nicht immer wieder. Es läuft, wenn macOS es braucht, die Arbeit wird also nur verschoben.
- Vertrauen Sie keinem Pop-up, das behauptet, XProtect habe einen Virus gefunden, und eine Telefonnummer oder einen Download anbietet. XProtect warnt im Finder und verlangt nichts.
- Behalten Sie eine blockierte App nicht, indem Sie sie aus dem Papierkorb zurücklegen, weil Sie ihren Namen kennen. Laden Sie sie stattdessen erneut von ihrem Entwickler herunter.

## Wo Mole ins Spiel kommt

[Mole](https://mole.fit/de/) ist kein Virenschutz: Es sucht nicht nach Malware und hat in **Bereinigen** keine Zeile für XProtect. **Status** zeigt diese Prozesse, wenn sie zu seinen aktivsten Zeilen gehören, wobei alles, was aus einem App-Bundle-Ordner läuft, in einer Zeile zusammengefasst wird, und **Warum läuft das?** bei einer Zeile zeigt ihre ausführbare Datei, sodass Sie den Pfad ohne Terminal prüfen können. Wenn Sie einem unbekannten Hintergrundprozess nachgehen, der nicht XProtect ist, listet das Segment **Start** in **Apps** Startobjekte von Drittanbietern auf, und dort installiert sich hartnäckige Adware gern.

## Häufige Fragen

### Ist XProtect ein Virus?

Nein. Es ist Apples Virenschutz und Teil von macOS. Seine Programme liegen an geschützten Systemorten, ein Prozess mit diesem Namen, der von irgendwo anders läuft, etwa aus Ihrem Ordner „Downloads“, ist daher verdächtig.

### Kann ich XProtect ausschalten?

Nicht in den Systemeinstellungen. Lassen Sie es an: Die einzigen Wege daran vorbei schwächen den Systemintegritätsschutz, der weit mehr schützt als XProtect.

### Warum läuft XProtectRemediator?

Es ist der Teil, der nach Zeitplan nach bestimmter bekannter Malware sucht und sie entfernt. Dass einer dieser Prozesse läuft, bedeutet nicht, dass Ihr Mac infiziert ist, denn sie laufen routinemäßig, und die meisten sind schnell fertig.

### Wie prüfe ich meine XProtect-Version?

Führen Sie `xprotect version` im Terminal aus, oder `system_profiler SPInstallHistoryDataType | grep -A 4 XProtect` für den Update-Verlauf.

### Heißt XProtect, dass ich keinen Virenschutz brauche?

Für viele deckt es bekannte Malware zusammen mit Gatekeeper und Notarisierung gut ab. Es bietet weder Scan-Berichte noch Scans auf Abruf, eine Vorgabe am Arbeitsplatz oder der Bedarf an diesen ist also ein Grund, ein weiteres Produkt hinzuzufügen.

---

Canonical HTML page: https://mole.fit/de/blog/what-is-xprotect-mac
Blog index for agents: https://mole.fit/de/blog/llms.txt
Site index for agents: https://mole.fit/llms.txt