Windows-Prozesse erklärt: svchost, Runtime Broker und mehr

Die meisten Windows-Prozesse, die im Task-Manager beunruhigend aussehen, sind normale Bestandteile von Windows: System, Systemunterbrechungen, Diensthost, Runtime Broker, Client-Server-Laufzeitprozess und die übrigen haben jeweils eine Aufgabe, und hohe CPU-Last bei einem von ihnen deutet meist auf Arbeit darunter hin, etwa einen Treiber, einen Dienst oder ein Update. Finden Sie heraus, was das für Arbeit ist, bevor Sie etwas beenden, denn mehrere dieser Prozesse lassen sich nicht gefahrlos beenden, und die übrigen kommen von selbst zurück.

Unten steht, was hinter jedem gängigen Namen steckt, wo die echte Datei liegt, warum er beschäftigt ist und wie Sie das prüfen. Speicherorte und Dateibeschreibungen stammen aus einer aktuellen Windows-11-Installation; auf Ihrem PC klicken Sie im Task-Manager mit der rechten Maustaste auf eine Zeile und wählen „Dateipfad öffnen“, um zu vergleichen.

Auf einen Blick

System, Systemunterbrechungen und Speicherkomprimierung

System ist der Windows-Kernel. Er hat immer die Prozess-ID 4, und seine Datei ntoskrnl.exe beschreibt sich unter Eigenschaften › Details als „NT Kernel & System“. Hohe CPU-Last hier sagt Ihnen, dass Arbeit auf Kernelebene läuft, aber nicht, welcher Teil, und Treiber sowie ausstehende Updates sind die Stellen, an denen Sie anfangen. Microsofts Anleitung zu Treiberupdates sagt, dass Treiberupdates am besten über Windows Update kommen, und wenn ein neuer Treiber die Lage verschlechtert hat, macht Geräte-Manager › Eigenschaften des Geräts › Treiber › „Vorheriger Treiber“ das rückgängig (Administratorrechte nötig).

Systemunterbrechungen ist kein Programm und hat keine Datei. Es ist die Zeit, die Prozessoren damit verbringen, auf Hardware zu reagieren. Microsofts Leitfaden zur CPU-Analyse erklärt den Mechanismus: Ein Gerät wie eine Netzwerkkarte löst einen Interrupt aus, Windows führt eine Interrupt-Service-Routine (ISR) aus, die den Rest der Arbeit meist als Deferred Procedure Call (DPC) einplant, und solange ein Prozessor DPCs und ISRs ausführt, kann auf ihm kein Thread laufen. Deshalb kann viel Interrupt-Zeit als knisternder Ton oder Ruckeln auffallen. Etwas Interrupt-Zeit gibt es immer, solange Hardware benutzt wird; ein dauerhaft hoher Wert auf einem PC im Leerlauf deutet auf einen Treiber oder ein Gerät.

Um herauszufinden, welches, zeichnen Sie in einer Eingabeaufforderung als Administrator eine Ablaufverfolgung auf. Die WPR-Befehlsreferenz dokumentiert -start und -stop, und das integrierte GeneralProfile enthält DPC- und Interrupt-Ereignisse:

wpr -start GeneralProfile
wpr -stop C:\Temp\interrupts.etl

Führen Sie die erste Zeile aus, warten Sie, während Systemunterbrechungen hoch ist, und führen Sie dann die zweite aus; der Ordner muss existieren. Öffnen Sie die Datei im Windows Performance Analyzer und sehen Sie sich das DPC/ISR-Diagramm an, dessen Spalte Module die Treiberdatei mit der beschäftigten Routine nennt. Ein einfacherer Test ohne Werkzeuge: USB-Geräte und Docks nacheinander abziehen und dabei die Zahl beobachten.

Speicherkomprimierung hält selten genutzte Speicherseiten komprimiert im RAM, statt sie in die Auslagerungsdatei zu schreiben. Als Microsoft den Komprimierungsspeicher in Windows 10 einführte, erklärte es, dass dieser Speicher genau dann wächst, wenn Arbeitsspeicher für andere Programme freigemacht wird, weshalb er groß aussehen kann. Ein großer Wert folgt aus Speicherdruck durch andere Programme, statt ihn zu verursachen. Unter Hohe Arbeitsspeicherauslastung unter Windows finden Sie heraus, was den Speicher wirklich belegt.

Diensthost (svchost.exe): den Dienst darin finden

Microsofts Artikel zum Diensthost beschreibt svchost.exe als gemeinsamen Dienstprozess, der Dienste aus DLL-Dateien lädt. Seit Windows 10 Version 1703 führen PCs mit mehr als 3,5 GB RAM die meisten Dienste in einem eigenen Diensthost-Prozess aus, deshalb zeigt der Task-Manager Dutzende davon, und jede Zeile trägt jetzt den Namen des enthaltenen Dienstes, etwa „Diensthost: Windows Update“. Manche Dienste bleiben gruppiert, etwa das Basisfiltermodul mit der Windows-Firewall.

Auf „svchost hohe CPU-Last“ gibt es deshalb keine einzelne Antwort: Beschäftigt ist ein Dienst. Drei Wege, ihn zu benennen:

1. Klappen Sie in der Ansicht „Prozesse“ des Task-Managers die beschäftigte Diensthost-Zeile auf. Die enthaltenen Dienste stehen darunter.
2. Klicken Sie mit der rechten Maustaste auf die Zeile und wählen Sie „Zu Details wechseln“, um die PID zu sehen, und öffnen Sie dann die Seite „Dienste“ (unter Windows 10 eine Registerkarte), die jeden Dienst mit der PID auflistet, die ihn ausführt.
3. Verwenden Sie in der Eingabeaufforderung tasklist, wobei /svc die Dienste in jedem Prozess auflistet:

tasklist /svc /fi "IMAGENAME eq svchost.exe"
tasklist /svc /fi "PID eq 1234"

Ersetzen Sie 1234 durch die PID aus dem Task-Manager. Kümmern Sie sich dann um den Dienst, nicht um den Host: Windows Update beim Abschließen einer Installation und wsappx beim Bereitstellen einer Store-App haben jeweils eine eigene Lösung. Einen Diensthost zu beenden stoppt alle Dienste darin auf einmal und stoppt nicht das, was den Dienst zur Arbeit veranlasst hat.

Runtime Broker, Windows-Explorer und Desktopfenster-Manager

Runtime Broker (RuntimeBroker.exe) läuft in Ihrer Sitzung und verwaltet laut Microsofts Artikel zu Runtime Broker die Berechtigungen von Apps aus dem Microsoft Store auf Ihrem PC. Normalerweise braucht er ein paar Megabyte. Microsofts eigene Schwelle: Belegt er mehr als 15 % des Arbeitsspeichers, verhält sich wahrscheinlich eine App fehlerhaft, und die empfohlene Lösung ist, den Task Runtime Broker zu beenden und den PC neu zu starten.

Windows-Explorer (explorer.exe, direkt in C:\Windows) sind nicht nur die Fenster des Datei-Explorers; er zeichnet auch Taskleiste, Start und Desktop. Hängt er oder wird der Bildschirm schwarz, sagt Microsofts Anleitung zu schwarzen Bildschirmen, dass Sie den Task-Manager mit Ctrl + Shift + Esc öffnen, mit der rechten Maustaste auf „Windows-Explorer“ klicken und „Neu starten“ wählen oder, falls er fehlt, „Datei › Neuen Task ausführen“ verwenden und explorer.exe eingeben.

Desktopfenster-Manager (dwm.exe) setzt alle Fenster zu dem Bild auf Ihrem Bildschirm zusammen. Microsofts DWM-Übersicht beschreibt, wie Fenster in Offscreen-Oberflächen zeichnen, die DWM auf die Anzeige rendert. Seine Arbeit richtet sich nach dem, was auf dem Bildschirm ist. Beenden Sie ihn nicht; was Sie prüfen sollten, steht unter Desktopfenster-Manager mit hoher GPU-Last.

csrss, wininit, winlogon und taskhostw

Client-Server-Laufzeitprozess (csrss.exe) ist, in Microsofts Worten aus den Hinweisen zum Debuggen, der Benutzermodus-Prozess, der die zugrunde liegende Schicht der Windows-Umgebung steuert, und seit Windows 10 ist er ein geschützter Prozess. Es gibt einen pro Sitzung, also sind zwei oder mehr normal. Er sollte nahe null CPU liegen; es gibt nichts einzustellen und keinen Grund, ihn zu beenden.

wininit.exe (Dateibeschreibung „Windows-Startanwendung“) und winlogon.exe („Windows-Anmeldeanwendung“) kümmern sich um Start und Anmeldung. Microsofts Seite zu Winlogon sagt, dass Winlogon die Desktops für die Fensterstation erstellt und Timeout-Vorgänge umsetzt, und es registriert die Secure Attention Sequence, also das Ctrl + Alt + Delete, mit dem Sie den Sicherheitsbildschirm erreichen. Beide sollten fast immer im Leerlauf sein. Lassen Sie sie in Ruhe.

Hostprozess für Windows-Aufgaben (taskhostw.exe) führt Aufgaben für Windows aus, und Microsoft veröffentlicht keine eigene Seite dazu. Bleibt er beschäftigt, zeigt die Aufgabenplanung (Aufgabenplanungsbibliothek › Microsoft › Windows), welche Aufgaben laufen; lassen Sie sie fertig werden, statt den Host zu beenden. Eine taskhostw.exe außerhalb von C:\Windows\System32 ist eine andere Sache, dazu weiter unten mehr.

Aus gutem Grund beschäftigt: Defender, Updates, Suche und Store-Apps

Diese vier erledigen meist echte Arbeit, die von selbst endet, und zu jedem gibt es eine ausführliche Anleitung:

• Antimalware Service Executable (MsMpEng.exe, unter C:\ProgramData\Microsoft\Windows Defender\Platform\<version>\) ist Microsoft Defender beim Scannen. Siehe Antimalware Service Executable mit hoher CPU-Last.
• Windows Modules Installer Worker (TiWorker.exe, in einem Servicing-Stack-Ordner unter C:\Windows\WinSxS) erledigt Update-Arbeit für den Dienst Windows Modules Installer (C:\Windows\servicing\TrustedInstaller.exe). Siehe Windows Modules Installer Worker mit hoher CPU-Last.
• Microsoft Windows Search Indexer (C:\Windows\System32\SearchIndexer.exe) baut den Suchindex auf. Siehe Windows Search Indexer mit hoher CPU-Last.
• wsappx ist ein Diensthost für Bereitstellung und Lizenzierung von Store-Apps. Siehe wsappx mit hoher CPU-Last.

Einen gefälschten Systemprozess erkennen

Schadsoftware leiht sich manchmal den Namen eines Systemprozesses. Der Name beweist nichts; Speicherort und Signatur schon.

1. Klicken Sie im Task-Manager mit der rechten Maustaste auf den Prozess und wählen Sie „Dateipfad öffnen“. Läuft svchost.exe, csrss.exe, RuntimeBroker.exe oder taskhostw.exe aus einem Benutzerordner, aus AppData, ProgramData oder Temp, ist es nicht die Windows-Datei. Achten Sie auch auf fast gleiche Schreibweisen wie scvhost.exe.
2. Rechtsklick auf die Datei › Eigenschaften › Details. Eine echte Datei zeigt Microsoft Corporation und die Beschreibung aus der Tabelle oben.
3. Prüfen Sie die Signatur. Die meisten Windows-Dateien sind über einen Windows-Katalog signiert und nicht in der Datei selbst, deshalb fehlt in ihren Eigenschaften die Registerkarte „Digitale Signaturen“; eine fehlende Registerkarte ist kein Warnzeichen. Get-AuthenticodeSignature liest auch Katalogsignaturen. Richten Sie es auf den gefundenen Pfad:

Get-AuthenticodeSignature C:\Windows\System32\svchost.exe | Format-List Status, SignatureType, SignerCertificate

Eine echte Datei meldet Valid, meist Catalog, mit einem Microsoft-Windows-Zertifikat. Um einen ganzen Ordner zu prüfen, listet Microsofts Sigcheck mit sigcheck -u -e c:\windows\system32 unsignierte Dateien auf, und Microsoft rät, jede nicht signierte Datei zu untersuchen.

Wenn etwas falsch aussieht, scannen Sie. Microsofts Anleitung zu Windows-Sicherheit führt die „Scanoptionen“ unter „Viren- & Bedrohungsschutz“; „Microsoft Defender Antivirus (Offlineüberprüfung)“ startet den PC neu und scannt, bevor Windows lädt, sodass hartnäckige Schadsoftware sich schwerer verstecken kann, und die Ergebnisse erscheinen im „Schutzverlauf“. Löschen Sie die verdächtige Datei nicht von Hand, solange sie läuft, und löschen Sie nie eine Datei aus C:\Windows\System32, nur weil ihr Name seltsam aussah.

Was Mole dabei tut

Die Seite „Status“ in Mole listet Prozesse gruppiert nach der App, zu der sie gehören, und summiert CPU und Arbeitsspeicher je Gruppe, sodass sich wiederholte Hilfsprozesse zu einer Zeile addieren. Wählen Sie im Menü einer Zeile „Warum läuft das?“, sehen Sie den Pfad der ausführbaren Datei und bei Diensthost-Zeilen die Windows-Dienste darin, die beschäftigtsten zuerst; „Im Datei-Explorer anzeigen“ öffnet den Ordner der Datei für die Prüfung des Speicherorts oben. Für Windows-Dienste, für alles, was aus dem Windows-Ordner läuft, und für den Prozess System selbst bietet Mole weder „Beenden“ noch „Sofort beenden“ an und kennzeichnet diese Zeilen stattdessen als „System“. Wie es auf der Hilfeseite heißt: Systemprozesse und Prozesse, die sich andere Apps teilen, behalten Sie.

Mole ändert keine Treiber, Dienste oder Defender-Einstellungen und erkennt keine Schadsoftware. Bei hoher CPU-Last durch gewöhnliche Apps siehe Hohe CPU-Auslastung unter Windows.

Häufige Fragen

Warum verbraucht svchost.exe so viel CPU?

Der Diensthost enthält nur Dienste; einer davon ist beschäftigt. Klappen Sie die Zeile im Task-Manager auf oder führen Sie tasklist /svc aus, um den Dienst zu benennen, und kümmern Sie sich dann um diesen Dienst, etwa Windows Update oder die Installation einer Store-App.

Was sind Systemunterbrechungen und kann ich sie deaktivieren?

Es ist die Zeit, die Windows mit Hardware-Interrupts und der zugehörigen verzögerten Arbeit verbringt, kein Programm, also gibt es nichts zu deaktivieren. Dauerhaft hohe Werte deuten auf einen Treiber oder ein Gerät; aktualisieren Sie Treiber oder setzen Sie sie zurück, oder zeichnen Sie eine Ablaufverfolgung auf, um zu sehen, welches Treibermodul beschäftigt ist.

Was ist Runtime Broker und kann ich ihn gefahrlos beenden?

Er verwaltet die Berechtigungen von Microsoft Store-Apps. Microsoft sagt, dass Sie den Task im Task-Manager beenden und den PC neu starten können, wenn er mehr als 15 % des Arbeitsspeichers belegt.

Wie erkenne ich, ob ein Windows-Prozess ein Virus ist?

Prüfen Sie, wo die Datei liegt und wer sie signiert hat: Echte Kernprozesse laufen aus C:\Windows oder C:\Windows\System32 und tragen eine gültige Microsoft-Signatur, oft eine Katalogsignatur. Stimmen Speicherort oder Signatur nicht, führen Sie eine Offlineüberprüfung mit Microsoft Defender aus.