# Windows-Prozesse erklärt: svchost, Runtime Broker und mehr

Die meisten Windows-Prozesse, die im Task-Manager beunruhigend aussehen, sind normale Bestandteile von Windows: System, Systemunterbrechungen, Diensthost, Runtime Broker, Client-Server-Laufzeitprozess und die übrigen haben jeweils eine Aufgabe, und hohe CPU-Last bei einem von ihnen deutet meist auf Arbeit darunter hin, etwa einen Treiber, einen Dienst oder ein Update. Finden Sie heraus, was das für Arbeit ist, bevor Sie etwas beenden, denn mehrere dieser Prozesse lassen sich nicht gefahrlos beenden, und die übrigen kommen von selbst zurück.

Unten steht, was hinter jedem gängigen Namen steckt, wo die echte Datei liegt, warum er beschäftigt ist und wie Sie das prüfen. Speicherorte und Dateibeschreibungen stammen aus einer aktuellen Windows-11-Installation; auf Ihrem PC klicken Sie im Task-Manager mit der rechten Maustaste auf eine Zeile und wählen „Dateipfad öffnen“, um zu vergleichen.

## Auf einen Blick

| Name im Task-Manager | Datei | Was es ist | Beenden? |
| --- | --- | --- | --- |
| System | `C:\Windows\System32\ntoskrnl.exe` („NT Kernel & System“) | Der Windows-Kernel, Prozess-ID 4 | Nein |
| Systemunterbrechungen (System interrupts) | Keine | Zeit für die Behandlung von Hardware-Interrupts | Kein Prozess, den man beenden kann |
| Speicherkomprimierung (Memory Compression) | Keine | Komprimierte Speicherseiten im RAM | Nein |
| Diensthost: … (Service Host) | `C:\Windows\System32\svchost.exe` | Ein Container für einen oder mehrere Windows-Dienste | Nein, stattdessen den Dienst finden |
| Runtime Broker | `C:\Windows\System32\RuntimeBroker.exe` | Berechtigungsvermittler für Microsoft Store-Apps | Ja, Microsoft empfiehlt es bei hohem Speicherverbrauch |
| Windows-Explorer (Windows Explorer) | `C:\Windows\explorer.exe` | Taskleiste, Start, Desktop und Datei-Explorer | „Neu starten“ verwenden, nicht „Task beenden“ |
| Desktopfenster-Manager (Desktop Window Manager) | `C:\Windows\System32\dwm.exe` | Zeichnet jedes Fenster auf den Bildschirm | Nein |
| Client-Server-Laufzeitprozess (Client Server Runtime Process) | `C:\Windows\System32\csrss.exe` | Zentraler Benutzermodus-Teil von Windows | Nein |
| Windows-Startanwendung / Windows-Anmeldeanwendung | `wininit.exe` / `winlogon.exe` in `C:\Windows\System32` | Start und Anmeldung | Nein |
| Hostprozess für Windows-Aufgaben (Host Process for Windows Tasks) | `C:\Windows\System32\taskhostw.exe` | Führt Windows-Aufgaben aus | In Ruhe lassen |

## System, Systemunterbrechungen und Speicherkomprimierung

**System** ist der Windows-Kernel. Er hat immer die Prozess-ID 4, und seine Datei `ntoskrnl.exe` beschreibt sich unter Eigenschaften › Details als „NT Kernel & System“. Hohe CPU-Last hier sagt Ihnen, dass Arbeit auf Kernelebene läuft, aber nicht, welcher Teil, und Treiber sowie ausstehende Updates sind die Stellen, an denen Sie anfangen. Microsofts [Anleitung zu Treiberupdates](https://support.microsoft.com/en-us/windows/update-drivers-through-device-manager-in-windows-ec62f46c-ff14-c91d-eead-d7126dc1f7b6) sagt, dass Treiberupdates am besten über Windows Update kommen, und wenn ein neuer Treiber die Lage verschlechtert hat, macht Geräte-Manager › Eigenschaften des Geräts › Treiber › „Vorheriger Treiber“ das rückgängig (Administratorrechte nötig).

**Systemunterbrechungen** ist kein Programm und hat keine Datei. Es ist die Zeit, die Prozessoren damit verbringen, auf Hardware zu reagieren. Microsofts [Leitfaden zur CPU-Analyse](https://learn.microsoft.com/en-us/windows-hardware/test/wpt/cpu-analysis) erklärt den Mechanismus: Ein Gerät wie eine Netzwerkkarte löst einen Interrupt aus, Windows führt eine Interrupt-Service-Routine (ISR) aus, die den Rest der Arbeit meist als Deferred Procedure Call (DPC) einplant, und solange ein Prozessor DPCs und ISRs ausführt, kann auf ihm kein Thread laufen. Deshalb kann viel Interrupt-Zeit als knisternder Ton oder Ruckeln auffallen. Etwas Interrupt-Zeit gibt es immer, solange Hardware benutzt wird; ein dauerhaft hoher Wert auf einem PC im Leerlauf deutet auf einen Treiber oder ein Gerät.

Um herauszufinden, welches, zeichnen Sie in einer Eingabeaufforderung als Administrator eine Ablaufverfolgung auf. Die [WPR-Befehlsreferenz](https://learn.microsoft.com/en-us/windows-hardware/test/wpt/wpr-command-line-options) dokumentiert `-start` und `-stop`, und das integrierte GeneralProfile enthält DPC- und Interrupt-Ereignisse:

```cmd
wpr -start GeneralProfile
wpr -stop C:\Temp\interrupts.etl
```

Führen Sie die erste Zeile aus, warten Sie, während Systemunterbrechungen hoch ist, und führen Sie dann die zweite aus; der Ordner muss existieren. Öffnen Sie die Datei im Windows Performance Analyzer und sehen Sie sich das DPC/ISR-Diagramm an, dessen Spalte Module die Treiberdatei mit der beschäftigten Routine nennt. Ein einfacherer Test ohne Werkzeuge: USB-Geräte und Docks nacheinander abziehen und dabei die Zahl beobachten.

**Speicherkomprimierung** hält selten genutzte Speicherseiten komprimiert im RAM, statt sie in die Auslagerungsdatei zu schreiben. Als Microsoft den [Komprimierungsspeicher in Windows 10 einführte](https://blogs.windows.com/windows-insider/2015/08/18/announcing-windows-10-insider-preview-build-10525/), erklärte es, dass dieser Speicher genau dann wächst, wenn Arbeitsspeicher für andere Programme freigemacht wird, weshalb er groß aussehen kann. Ein großer Wert folgt aus Speicherdruck durch andere Programme, statt ihn zu verursachen. Unter [Hohe Arbeitsspeicherauslastung unter Windows](/de/windows/blog/windows-high-memory-usage) finden Sie heraus, was den Speicher wirklich belegt.

## Diensthost (svchost.exe): den Dienst darin finden

Microsofts [Artikel zum Diensthost](https://learn.microsoft.com/en-us/windows/application-management/svchost-service-refactoring) beschreibt `svchost.exe` als gemeinsamen Dienstprozess, der Dienste aus DLL-Dateien lädt. Seit Windows 10 Version 1703 führen PCs mit mehr als 3,5 GB RAM die meisten Dienste in einem eigenen Diensthost-Prozess aus, deshalb zeigt der Task-Manager Dutzende davon, und jede Zeile trägt jetzt den Namen des enthaltenen Dienstes, etwa „Diensthost: Windows Update“. Manche Dienste bleiben gruppiert, etwa das Basisfiltermodul mit der Windows-Firewall.

Auf „svchost hohe CPU-Last“ gibt es deshalb keine einzelne Antwort: Beschäftigt ist ein Dienst. Drei Wege, ihn zu benennen:

1. Klappen Sie in der Ansicht „Prozesse“ des Task-Managers die beschäftigte Diensthost-Zeile auf. Die enthaltenen Dienste stehen darunter.
2. Klicken Sie mit der rechten Maustaste auf die Zeile und wählen Sie „Zu Details wechseln“, um die PID zu sehen, und öffnen Sie dann die Seite „Dienste“ (unter Windows 10 eine Registerkarte), die jeden Dienst mit der PID auflistet, die ihn ausführt.
3. Verwenden Sie in der Eingabeaufforderung [tasklist](https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/tasklist), wobei `/svc` die Dienste in jedem Prozess auflistet:

```cmd
tasklist /svc /fi "IMAGENAME eq svchost.exe"
tasklist /svc /fi "PID eq 1234"
```

Ersetzen Sie `1234` durch die PID aus dem Task-Manager. Kümmern Sie sich dann um den Dienst, nicht um den Host: Windows Update beim Abschließen einer Installation und wsappx beim Bereitstellen einer Store-App haben jeweils eine eigene Lösung. Einen Diensthost zu beenden stoppt alle Dienste darin auf einmal und stoppt nicht das, was den Dienst zur Arbeit veranlasst hat.

## Runtime Broker, Windows-Explorer und Desktopfenster-Manager

**Runtime Broker** (`RuntimeBroker.exe`) läuft in Ihrer Sitzung und verwaltet laut Microsofts [Artikel zu Runtime Broker](https://support.microsoft.com/en-us/windows/runtime-broker-is-using-too-much-memory-ca6ed4e3-2a36-964c-4d2e-8c93980d8a98) die Berechtigungen von Apps aus dem Microsoft Store auf Ihrem PC. Normalerweise braucht er ein paar Megabyte. Microsofts eigene Schwelle: Belegt er mehr als 15 % des Arbeitsspeichers, verhält sich wahrscheinlich eine App fehlerhaft, und die empfohlene Lösung ist, den Task Runtime Broker zu beenden und den PC neu zu starten.

**Windows-Explorer** (`explorer.exe`, direkt in `C:\Windows`) sind nicht nur die Fenster des Datei-Explorers; er zeichnet auch Taskleiste, Start und Desktop. Hängt er oder wird der Bildschirm schwarz, sagt Microsofts [Anleitung zu schwarzen Bildschirmen](https://support.microsoft.com/en-us/windows/hardware/display-graphics/troubleshooting-blank-screens-in-windows), dass Sie den Task-Manager mit `Ctrl + Shift + Esc` öffnen, mit der rechten Maustaste auf „Windows-Explorer“ klicken und „Neu starten“ wählen oder, falls er fehlt, „Datei › Neuen Task ausführen“ verwenden und `explorer.exe` eingeben.

**Desktopfenster-Manager** (`dwm.exe`) setzt alle Fenster zu dem Bild auf Ihrem Bildschirm zusammen. Microsofts [DWM-Übersicht](https://learn.microsoft.com/en-us/windows/win32/dwm/dwm-overview) beschreibt, wie Fenster in Offscreen-Oberflächen zeichnen, die DWM auf die Anzeige rendert. Seine Arbeit richtet sich nach dem, was auf dem Bildschirm ist. Beenden Sie ihn nicht; was Sie prüfen sollten, steht unter [Desktopfenster-Manager mit hoher GPU-Last](/de/windows/blog/desktop-window-manager-high-gpu).

## csrss, wininit, winlogon und taskhostw

**Client-Server-Laufzeitprozess** (`csrss.exe`) ist, in Microsofts Worten aus den [Hinweisen zum Debuggen](https://learn.microsoft.com/en-us/windows-hardware/drivers/debugger/debugging-csrss), der Benutzermodus-Prozess, der die zugrunde liegende Schicht der Windows-Umgebung steuert, und seit Windows 10 ist er ein geschützter Prozess. Es gibt einen pro Sitzung, also sind zwei oder mehr normal. Er sollte nahe null CPU liegen; es gibt nichts einzustellen und keinen Grund, ihn zu beenden.

**wininit.exe** (Dateibeschreibung „Windows-Startanwendung“) und **winlogon.exe** („Windows-Anmeldeanwendung“) kümmern sich um Start und Anmeldung. Microsofts [Seite zu Winlogon](https://learn.microsoft.com/en-us/windows/win32/secauthn/winlogon) sagt, dass Winlogon die Desktops für die Fensterstation erstellt und Timeout-Vorgänge umsetzt, und es registriert die Secure Attention Sequence, also das `Ctrl + Alt + Delete`, mit dem Sie den Sicherheitsbildschirm erreichen. Beide sollten fast immer im Leerlauf sein. Lassen Sie sie in Ruhe.

**Hostprozess für Windows-Aufgaben** (`taskhostw.exe`) führt Aufgaben für Windows aus, und Microsoft veröffentlicht keine eigene Seite dazu. Bleibt er beschäftigt, zeigt die Aufgabenplanung (Aufgabenplanungsbibliothek › Microsoft › Windows), welche Aufgaben laufen; lassen Sie sie fertig werden, statt den Host zu beenden. Eine `taskhostw.exe` außerhalb von `C:\Windows\System32` ist eine andere Sache, dazu weiter unten mehr.

## Aus gutem Grund beschäftigt: Defender, Updates, Suche und Store-Apps

Diese vier erledigen meist echte Arbeit, die von selbst endet, und zu jedem gibt es eine ausführliche Anleitung:

- **Antimalware Service Executable** (`MsMpEng.exe`, unter `C:\ProgramData\Microsoft\Windows Defender\Platform\<version>\`) ist Microsoft Defender beim Scannen. Siehe [Antimalware Service Executable mit hoher CPU-Last](/de/windows/blog/antimalware-service-executable-high-cpu).
- **Windows Modules Installer Worker** (`TiWorker.exe`, in einem Servicing-Stack-Ordner unter `C:\Windows\WinSxS`) erledigt Update-Arbeit für den Dienst Windows Modules Installer (`C:\Windows\servicing\TrustedInstaller.exe`). Siehe [Windows Modules Installer Worker mit hoher CPU-Last](/de/windows/blog/windows-modules-installer-worker-high-cpu).
- **Microsoft Windows Search Indexer** (`C:\Windows\System32\SearchIndexer.exe`) baut den Suchindex auf. Siehe [Windows Search Indexer mit hoher CPU-Last](/de/windows/blog/windows-search-indexer-high-cpu).
- **wsappx** ist ein Diensthost für Bereitstellung und Lizenzierung von Store-Apps. Siehe [wsappx mit hoher CPU-Last](/de/windows/blog/wsappx-high-cpu-windows).

## Einen gefälschten Systemprozess erkennen

Schadsoftware leiht sich manchmal den Namen eines Systemprozesses. Der Name beweist nichts; Speicherort und Signatur schon.

1. Klicken Sie im Task-Manager mit der rechten Maustaste auf den Prozess und wählen Sie „Dateipfad öffnen“. Läuft `svchost.exe`, `csrss.exe`, `RuntimeBroker.exe` oder `taskhostw.exe` aus einem Benutzerordner, aus `AppData`, `ProgramData` oder `Temp`, ist es nicht die Windows-Datei. Achten Sie auch auf fast gleiche Schreibweisen wie `scvhost.exe`.
2. Rechtsklick auf die Datei › Eigenschaften › Details. Eine echte Datei zeigt Microsoft Corporation und die Beschreibung aus der Tabelle oben.
3. Prüfen Sie die Signatur. Die meisten Windows-Dateien sind über einen Windows-Katalog signiert und nicht in der Datei selbst, deshalb fehlt in ihren Eigenschaften die Registerkarte „Digitale Signaturen“; eine fehlende Registerkarte ist kein Warnzeichen. [Get-AuthenticodeSignature](https://learn.microsoft.com/en-us/powershell/module/microsoft.powershell.security/get-authenticodesignature) liest auch Katalogsignaturen. Richten Sie es auf den gefundenen Pfad:

```powershell
Get-AuthenticodeSignature C:\Windows\System32\svchost.exe | Format-List Status, SignatureType, SignerCertificate
```

Eine echte Datei meldet `Valid`, meist `Catalog`, mit einem Microsoft-Windows-Zertifikat. Um einen ganzen Ordner zu prüfen, listet Microsofts [Sigcheck](https://learn.microsoft.com/en-us/sysinternals/downloads/sigcheck) mit `sigcheck -u -e c:\windows\system32` unsignierte Dateien auf, und Microsoft rät, jede nicht signierte Datei zu untersuchen.

Wenn etwas falsch aussieht, scannen Sie. Microsofts [Anleitung zu Windows-Sicherheit](https://support.microsoft.com/en-us/windows/virus-and-threat-protection-in-the-windows-security-app-1362f4cd-d71a-b52a-0b66-c2820032b65e) führt die „Scanoptionen“ unter „Viren- & Bedrohungsschutz“; „Microsoft Defender Antivirus (Offlineüberprüfung)“ startet den PC neu und scannt, bevor Windows lädt, sodass hartnäckige Schadsoftware sich schwerer verstecken kann, und die Ergebnisse erscheinen im „Schutzverlauf“. Löschen Sie die verdächtige Datei nicht von Hand, solange sie läuft, und löschen Sie nie eine Datei aus `C:\Windows\System32`, nur weil ihr Name seltsam aussah.

## Was Mole dabei tut

Die Seite „Status“ in Mole listet Prozesse gruppiert nach der App, zu der sie gehören, und summiert CPU und Arbeitsspeicher je Gruppe, sodass sich wiederholte Hilfsprozesse zu einer Zeile addieren. Wählen Sie im Menü einer Zeile „Warum läuft das?“, sehen Sie den Pfad der ausführbaren Datei und bei Diensthost-Zeilen die Windows-Dienste darin, die beschäftigtsten zuerst; „Im Datei-Explorer anzeigen“ öffnet den Ordner der Datei für die Prüfung des Speicherorts oben. Für Windows-Dienste, für alles, was aus dem Windows-Ordner läuft, und für den Prozess System selbst bietet Mole weder „Beenden“ noch „Sofort beenden“ an und kennzeichnet diese Zeilen stattdessen als „System“. Wie es auf der [Hilfeseite](/de/windows/help) heißt: Systemprozesse und Prozesse, die sich andere Apps teilen, behalten Sie.

Mole ändert keine Treiber, Dienste oder Defender-Einstellungen und erkennt keine Schadsoftware. Bei hoher CPU-Last durch gewöhnliche Apps siehe [Hohe CPU-Auslastung unter Windows](/de/windows/blog/windows-high-cpu-usage).

## Häufige Fragen

### Warum verbraucht svchost.exe so viel CPU?

Der Diensthost enthält nur Dienste; einer davon ist beschäftigt. Klappen Sie die Zeile im Task-Manager auf oder führen Sie `tasklist /svc` aus, um den Dienst zu benennen, und kümmern Sie sich dann um diesen Dienst, etwa Windows Update oder die Installation einer Store-App.

### Was sind Systemunterbrechungen und kann ich sie deaktivieren?

Es ist die Zeit, die Windows mit Hardware-Interrupts und der zugehörigen verzögerten Arbeit verbringt, kein Programm, also gibt es nichts zu deaktivieren. Dauerhaft hohe Werte deuten auf einen Treiber oder ein Gerät; aktualisieren Sie Treiber oder setzen Sie sie zurück, oder zeichnen Sie eine Ablaufverfolgung auf, um zu sehen, welches Treibermodul beschäftigt ist.

### Was ist Runtime Broker und kann ich ihn gefahrlos beenden?

Er verwaltet die Berechtigungen von Microsoft Store-Apps. Microsoft sagt, dass Sie den Task im Task-Manager beenden und den PC neu starten können, wenn er mehr als 15 % des Arbeitsspeichers belegt.

### Wie erkenne ich, ob ein Windows-Prozess ein Virus ist?

Prüfen Sie, wo die Datei liegt und wer sie signiert hat: Echte Kernprozesse laufen aus `C:\Windows` oder `C:\Windows\System32` und tragen eine gültige Microsoft-Signatur, oft eine Katalogsignatur. Stimmen Speicherort oder Signatur nicht, führen Sie eine Offlineüberprüfung mit Microsoft Defender aus.


Canonical: https://mole.fit/de/windows/blog/windows-processes-explained