# Antimalware Service Executable: hohe CPU-Last von Defender einordnen Antimalware Service Executable ist Microsoft Defender Antivirus, der in Windows eingebaute Virenschutz. Die Prozessdatei heißt `MsMpEng.exe`. Hohe CPU-Last kommt meist von einer Überprüfung: einer geplanten Überprüfung, einer Überprüfung nach neuer Sicherheitsintelligenz oder dem Echtzeitschutz für Dateien, die gerade ein anderes Programm öffnet. Klären Sie zuerst, welche davon es ist. Jede hat eine andere Abhilfe, und keine verlangt, Defender dauerhaft auszuschalten. ## Was der Prozess gerade tut Microsofts [Artikel zur Defender-Leistung](https://learn.microsoft.com/en-us/defender-endpoint/troubleshoot-performance-issues) nennt den Prozess direkt: Anti-malware Service Executable, `MsMpEng.exe`, Microsoft Defender Antivirus. Die Arbeit fällt in drei Gruppen. | Quelle der Arbeit | Wann sie auftritt | Wie sie aussieht | | --- | --- | --- | | Echtzeitschutz | Beim Öffnen, Schließen oder Starten von Dateien | Die CPU folgt einer anderen Aufgabe: einem Build, einem Installer, dem Entpacken eines Archivs, dem Kopieren vieler kleiner Dateien | | Geplante Überprüfung | Nach Zeitplan, standardmäßig nur im Leerlauf | Beginnt, wenn Sie weggehen, und kann noch laufen, wenn Sie zurückkommen | | Überprüfung nach einem Sicherheitsintelligenz-Update | Nach der Installation neuer Definitionen | Sieht aus wie eine Überprüfung außerhalb des Zeitplans | Den Echtzeitschutz treffen die meisten. Derselbe Artikel nennt, was ihn teuer macht: unsignierte `.exe`- und `.dll`-Dateien, die gestartet werden, komplexe Formate wie HTA und CHM als Datenspeicher, verschleierte Skripte und große Dateien wie `.iso` oder `.vhdx` in einem Profilordner, der mit einem Netzlaufwerk oder OneDrive synchronisiert. Ein Projektbuild, der Tausende kleiner Dateien schreibt, ist die alltägliche Form: jede Datei, die der Compiler schreibt, sieht sich Defender an.
Drei Arten der Defender-Überprüfung
Die Echtzeitprüfung folgt anderer Arbeit, geplante Überprüfungen folgen der Uhr, und ein Update kann eine eigene Überprüfung starten. Jede hat eine andere Abhilfe.
## Zuerst prüfen, ohne Einstellungen zu ändern Drücken Sie `Ctrl + Shift + Esc`, öffnen Sie den Task-Manager, sortieren Sie nach CPU und notieren Sie, was im selben Moment sonst noch arbeitet. Steigt und fällt Antimalware Service Executable mit einem Build, einem Installer oder einem großen Kopiervorgang, prüft der Echtzeitschutz genau diese Arbeit. Ist er beschäftigt, während sonst nichts läuft, ist eine Überprüfung wahrscheinlicher. Warten Sie einige Minuten und sehen Sie erneut hin: eine Überprüfung, die endet, ist normales Verhalten, kein Fehler. Öffnen Sie danach Windows-Sicherheit über das Startmenü und gehen Sie zu Viren- & Bedrohungsschutz. [Microsofts Anleitung zu Windows-Sicherheit](https://support.microsoft.com/en-us/windows/virus-and-threat-protection-in-the-windows-security-app-1362f4cd-d71a-b52a-0b66-c2820032b65e) beschreibt dort die Scanoptionen (Schnellüberprüfung, vollständige Überprüfung, benutzerdefinierte Überprüfung und Microsoft Defender Antivirus (Offlineüberprüfung)) und den Schutzverlauf. Der Schutzverlauf zählt hier: hat Defender etwas gefunden und behandelt es, hat die CPU-Last einen Grund, und der dort genannte Eintrag ist das, worauf Sie reagieren. Wenn Sie genau wissen wollen, welche Dateien am meisten kosten, hat Defender einen Leistungsanalysator. [Microsofts Anleitung zum Analysator](https://learn.microsoft.com/en-us/defender-endpoint/tune-performance-defender-antivirus) zeichnet Defenders Scanereignisse auf, während Sie die langsame Aufgabe wiederholen, und nennt danach die teuersten Dateien, Pfade, Erweiterungen und Prozesse nach Scanzeit. Starten Sie PowerShell als Administrator, beginnen Sie die Aufzeichnung, wiederholen Sie die langsame Arbeit und drücken Sie dann die Eingabetaste: ```powershell New-MpPerformanceRecording -RecordTo C:\Temp\defender.etl Get-MpPerformanceReport -Path C:\Temp\defender.etl -TopFiles 10 -TopProcesses 10 ``` Der Pfad ist ein Beispiel; verwenden Sie einen Ordner, der existiert. Der Bericht liest Daten und ändert keine Einstellung. Stehen oben eigene Build-Ausgaben oder ein Paketcache, haben Sie die Echtzeitkosten gefunden. Steht dort ein heruntergeladenes Archiv oder ein Werkzeug, das Sie nicht kennen, lassen Sie es weiter prüfen. ## Überprüfungen: schnell ist die empfohlene Vorgabe [Microsofts Anleitung zu Überprüfungen](https://learn.microsoft.com/en-us/defender-endpoint/schedule-antivirus-scans) empfiehlt für regelmäßige geplante Überprüfungen eine Schnellüberprüfung. Sie prüft Stellen, an denen Schadsoftware sich einträgt, um mit Windows zu starten, etwa Registrierungsschlüssel und Autostartordner. Zusammen mit dem Echtzeitschutz ist das die Abdeckung, die Microsoft empfiehlt. Eine vollständige Überprüfung liest jedes feste Laufwerk, kann auf einer großen Festplatte Stunden oder Tage dauern, und Microsoft empfiehlt im Allgemeinen nicht, sie zu planen. Haben Sie selbst eine vollständige Überprüfung gestartet, bleibt die CPU-Last, bis sie fertig ist. Dieselbe Anleitung hält fest, dass Defender 15 Minuten vor einer geplanten Überprüfung nach Updates sucht. Der Artikel zur Fehlerbehebung erklärt, dass eine Überprüfung nach einem Sicherheitsintelligenz-Update standardmäßig läuft. Deshalb kann eine Überprüfung zu einer Zeit erscheinen, die Sie nie gewählt haben. Um die geplante Überprüfung aus den Arbeitsstunden zu verschieben, öffnen Microsofts [Anweisungen zur Aufgabenplanung](https://support.microsoft.com/windows/schedule-a-scan-in-microsoft-defender-antivirus-54b64e9c-880a-c6b6-2416-0eb330ed5d2d) die Aufgabenplanungsbibliothek › Microsoft › Windows › Windows Defender, dann Windows Defender Scheduled Scan, und fügen auf der Registerkarte Trigger einen Trigger hinzu. Wählen Sie eine Zeit, zu der der PC an ist, Sie ihn aber nicht nutzen, etwa eine Mittagspause. Das Verschieben behält die Überprüfung; es ändert nur, wann Sie dafür zahlen. ## Build-Ordner: Dev Drive vor Ausschlüssen Kommt die Last von Entwicklungsarbeit, ist Microsofts Antwort unter Windows 11 ein [Dev Drive](https://learn.microsoft.com/en-us/windows/dev-drive/). Das ist ein eigenes ReFS-Volume, mindestens 50 GB, gedacht für Quellrepositorys, Paketcaches und Build-Ausgaben. Ein vertrauenswürdiges Dev Drive lässt Defender im Leistungsmodus laufen, den Microsoft als sichere Alternative zu Ordnerausschlüssen beschreibt: Dateien werden weiter geprüft, mit weniger Wirkung auf den Build. Den Zustand können Sie in einer Administrator-Eingabeaufforderung abfragen: ```powershell fsutil devdrv query D: ``` Ersetzen Sie `D:` durch den Laufwerksbuchstaben Ihres Dev Drive. Das Laufwerk C: kann kein Dev Drive sein, ein vorhandenes Volume lässt sich ohne Formatierung nicht umwandeln, und Microsoft empfiehlt, Entwicklerwerkzeuge wie Visual Studio und SDKs auf C: zu lassen. Caches zu verschieben ist eine größere Änderung als eine Einstellung. Die Dev-Drive-Seite listet die Umgebungsvariablen für npm, NuGet, pip, Cargo, Maven und Gradle. Welche dieser Ordner sich stattdessen leeren lassen, steht bei den [Entwickler-Caches unter Windows](/de/windows/blog/windows-developer-caches). ## Ausschlüsse: nur für Ordner, denen Sie vertrauen, und mit bekanntem Preis Ein Ausschluss hält Defender davon ab, diese Datei, diesen Ordner, diesen Dateityp oder diesen Prozess zu prüfen. In Windows-Sicherheit führen [Microsofts Schritte für Ausschlüsse](https://support.microsoft.com/en-us/windows/add-an-exclusion-to-windows-security-811816c0-4dfd-af4a-47e4-c301afe13b26) über Viren- & Bedrohungsschutz › Einstellungen verwalten › Ausschlüsse hinzufügen oder entfernen. Dieselbe Seite warnt, dass ausgeschlossene Elemente Gerät und Daten angreifbar lassen können. Microsofts [Referenz zu Ausschlüssen](https://learn.microsoft.com/en-us/defender-endpoint/microsoft-defender-antivirus-exclusions-configure) sagt außerdem, dass Sie Ausschlüsse meist gar nicht brauchen. Wenn Sie trotzdem einen hinzufügen, halten Sie ihn eng: - Ein Ordner, in den nur Ihre eigenen vertrauenswürdigen Werkzeuge schreiben, etwa die Build-Ausgabe eines Projekts, nicht das ganze Laufwerk und nicht das ganze Benutzerprofil. - Niemals Downloads, den Desktop, den Downloadordner eines Browsers oder einen Ordner, der Dateien aus E-Mail, Chat oder dem Internet empfängt. Dort kommt Schadsoftware an. - Ein Prozessausschluss gilt für jede Datei, die dieser Prozess öffnet. Ein Compiler oder Paketmanager als Ausschluss stoppt also auch die Prüfung dessen, was er herunterlädt. Jeder Ausschluss ist ein Tausch: weniger CPU für diesen Ordner, keine Prüfung dessen, was dort landet. Beginnt der Ordner, heruntergeladene Dateien zu halten, entfernen Sie den Ausschluss. ## Was Sie nicht tun sollten Schalten Sie Defender nicht dauerhaft über die Registrierung, Gruppenrichtlinien, ein Debloat-Skript oder ein Drittanbieter-Werkzeug aus. Den Echtzeitschutz in Windows-Sicherheit auszuschalten ist absichtlich vorübergehend: [Microsoft sagt](https://support.microsoft.com/en-us/windows/virus-and-threat-protection-in-the-windows-security-app-1362f4cd-d71a-b52a-0b66-c2820032b65e), dass er nach kurzer Zeit automatisch wieder eingeschaltet wird. Solange er aus ist, werden Dateien, die Sie öffnen oder herunterladen, nicht geprüft. Der Artikel zur Fehlerbehebung schlägt nur vor, ihn kurz über den Problembehandlungsmodus auszuschalten, um ihn als Ursache auszuschließen. Beenden Sie MsMpEng.exe nicht im Task-Manager und löschen Sie keine Dateien aus Defenders Ordnern. Schließen Sie nicht `C:\` oder einen ganzen Benutzerordner aus, nur damit eine Zahl sinkt. Läuft zusätzlich ein anderes Sicherheitsprodukt, empfiehlt Microsofts Artikel, die Prozesse jedes Produkts beim anderen auszuschließen. Zwei Scanner, die dieselben Dateien prüfen, sind eine bekannte Quelle hoher CPU-Last. ## Prüfen, ob die Änderung gewirkt hat Wiederholen Sie nach dem Verschieben des Zeitplans, dem Verschieben eines Caches auf ein Dev Drive oder einem engen Ausschluss dieselbe Arbeit, etwa denselben Build, und vergleichen Sie. Sie können den Analysator erneut aufzeichnen und prüfen, ob der Ordner jetzt einen Überspringgrund zeigt oder die Scanzeit gesunken ist. In Windows-Sicherheit sollte unter Viren- & Bedrohungsschutz der Schutz weiter eingeschaltet sein. Mole ändert keine Defender-Einstellungen und keine Ausschlüsse. Der Diagnosebericht, den Sie über Diagnose starten öffnen, nachdem Sie das Mole-Zeichen oben links im Fenster angeklickt haben, zeigt, ob Defenders Echtzeitschutz an ist, und markiert Sicherheitsintelligenz, die seit einer Woche nicht aktualisiert wurde. Das lohnt sich, nachdem jemand anderes die Sicherheitseinstellungen des PCs geändert hat. Für CPU-Last, die nicht von Defender kommt, siehe [Hohe CPU-Auslastung unter Windows](/de/windows/blog/windows-high-cpu-usage); für einen Datenträger, der bei 100 % steht, siehe [Datenträger bei 100 % im Task-Manager](/de/windows/blog/windows-disk-100-percent). ## Häufige Fragen ### Ist Antimalware Service Executable ein Virus? Der echte Prozess ist Microsoft Defender Antivirus, `MsMpEng.exe`, ein Teil von Windows. Hohe CPU-Last kommt meist von einer Überprüfung. Steht im Schutzverlauf ein Fund, handeln Sie anhand dieses Eintrags. ### Warum nutzt Antimalware Service Executable viel CPU, obwohl ich nichts tue? Geplante Überprüfungen laufen im Leerlauf, und Defender prüft standardmäßig auch nach einem Sicherheitsintelligenz-Update. Eine Schnellüberprüfung endet meist von selbst; eine vollständige Überprüfung kann Stunden dauern. ### Kann ich Antimalware Service Executable deaktivieren? Nicht sicher. Den Echtzeitschutz auszuschalten ist vorübergehend, und Windows schaltet ihn wieder ein. Dauerhaftes Abschalten über Richtlinien oder Skripte lässt Dateien ungeprüft. Verschieben Sie Überprüfungen oder nutzen Sie ein Dev Drive. ### Soll ich einen Ausschluss setzen, um hohe CPU-Last von Microsoft Defender zu beheben? Nur für einen engen Ordner, in den allein vertrauenswürdige Werkzeuge schreiben, etwa Build-Ausgaben. Microsoft warnt, dass Ausschlüsse den Schutz verringern. Schließen Sie niemals Downloads, den Desktop oder ein ganzes Laufwerk aus. Canonical: https://mole.fit/de/windows/blog/antimalware-service-executable-high-cpu