Antimalware Service Executable: hohe CPU-Auslastung beheben

Antimalware Service Executable ist der Echtzeitschutz-Prozess von Windows Defender, MsMpEng.exe. Im Leerlauf sollte er bei rund 1 bis 5 Prozent liegen. Wenn er hochgeht und oben bleibt, ist es fast immer eines von drei Dingen: ein hängender Scan, Defender im Streit mit einem zweiten Antivirenprogramm, oder er mahlt einen riesigen Ordner immer wieder durch. Arbeite sie in dieser Reihenfolge ab.

Der Grund, warum ich „in dieser Reihenfolge” sage, ist, dass die Leute direkt zur radikalen Option springen — den Echtzeitschutz abschalten — und das ist zugleich die schlechteste Lösung und selten das eigentliche Problem. Ein Scan soll vorübergehend sein. Wenn MsMpEng während eines geplanten Scans zehn Minuten lang auf 40 Prozent steigt und dann fällt, ist alles in Ordnung. Was du jagst, ist die Variante, die nicht wieder herunterkommt.

Ist das wirklich ein Problem?

Schau auf die Uhr, bevor du etwas änderst. Hast du gerade Updates installiert? Ist es die Zeit, zu der dein geplanter Scan läuft? Dann ist ein CPU-Ausschlag der Prozess bei der Arbeit, und das geht vorbei. AV-Comparatives macht jedes Jahr einen Leistungstest, und der Echtzeitschutz von Defender bewegt im Alltag kaum die Nadel — Dateien kopieren, Apps öffnen, surfen. Der Schutz ist nicht das, was ein gesundes Gerät langsam macht. Die Variante, die dich angeht, ist also eng umrissen: festgenagelt bei 50 Prozent, während du nur E-Mails liest, oder noch am Mahlen fünfzehn Minuten nachdem ein Scan fertig sein sollte. Die ist echt.

Ein Detail, über das Leute stolpern: die Zahl, die du siehst, ist geteilt. Auf einem Vierkern-Laptop kann MsMpEng mit 25 Prozent gesamt bedeuten, dass er einen Kern komplett sättigt, während die anderen im Leerlauf sind. Sortiere den Task-Manager nach der CPU-Spalte und beobachte ihn eine Minute mit der Aktualisierungsgeschwindigkeit auf Niedrig, damit ein Ausschlag von einer Sekunde dich nicht auf die falsche Fährte schickt.

Finde heraus, woran er sich verschluckt

Bevor du anfängst, Einstellungen zu ändern, finde heraus, woran Defender wirklich arbeitet, denn die Lösung hängt von der Antwort ab.

Öffne die Windows-Sicherheit, geh zu Viren- & Bedrohungsschutz und sieh dir den Schutzverlauf an. Was du suchst, ist ein Scan, der gestartet ist und nie ein Ende gemeldet hat. Der Ordner, an dem er hängt, liegt tiefer, in der Ereignisanzeige: Anwendungs- und Dienstprotokolle, dann Microsoft, Windows, Windows Defender, Operational. Scroll durch die letzten Stunden. Ein Ereignis „Scan gestartet” ohne passendes „Scan abgeschlossen” ist deine Antwort.

Neun von zehn Mal ist der Übeltäter ein einziges riesiges Verzeichnis voller Dateien, die sich ständig ändern. Ein Downloads-Ordner mit halbfertigen Torrents. Ein Ordner mit VM-Datenträgerabbildern. Eine Steam-Bibliothek. Der node_modules-Baum eines Entwicklers mit hunderttausend winzigen Dateien. Defender scannt sie bei jeder Änderung darin erneut, und wenn etwas sie ständig ändert, hört er nie auf.

Es gibt ein zweites Muster, das man kennen sollte. Wenn die hohe Auslastung jeden Tag zur selben Zeit auftaucht statt durchgehend, hängt sie gar nicht: es ist der geplante Scan, der landet, während du das Gerät nutzt. Der hat eine völlig andere Lösung als ein wirklich festgefahrener Scan.

Behebe es nach der wahren Ursache

Ich gehe sie in der Reihenfolge durch, in der ich sie angehe, was nicht die Reihenfolge der meisten Anleitungen ist, weil die meisten mit der gefährlichen anfangen.

Begrenze, wie viel CPU ein Scan nehmen darf. Das ist die Einstellung, die fast niemand erwähnt, und die sauberste Lösung, wenn Scans das Problem sind. Öffne PowerShell als Administrator und führe Set-MpPreference -ScanAvgCPULoadFactor 30 aus. Das weist Defender an, seine Scans auf durchschnittlich 30 Prozent CPU statt der standardmäßigen 50 zu halten; der Wert akzeptiert alles von 5 bis 100, laut Microsofts eigener Dokumentation. Wenn du schon dabei bist, schiebt Set-MpPreference -EnableLowCpuPriority $true geplante Scans auf niedrige Priorität, damit sie dem nachgeben, was du gerade tust. Führe danach Get-MpPreference | Select ScanAvgCPULoadFactor, EnableLowCpuPriority aus, um zu bestätigen, dass es übernommen wurde. Das schwächt den Schutz überhaupt nicht; es hindert Scans nur daran, die Maschine aufzufressen.

Verschiebe den geplanten Scan auf eine Zeit, in der niemand den Computer nutzt. Wenn deine hohe CPU vom Typ jeden-Tag-zur-selben-Zeit ist, ist das die Lösung. Öffne die Aufgabenplanung, klappe Aufgabenplanungsbibliothek, Microsoft, Windows, Windows Defender auf und öffne Windows Defender Scheduled Scan. Auf der Registerkarte Bedingungen kannst du festlegen, dass er nur startet, wenn der Computer im Leerlauf ist, und unter Trigger kannst du ihn mitten in die Nacht legen. Der Standardzeitplan hat die Angewohnheit, genau dann loszulegen, wenn deine Maschine aufwacht — also genau dann, wenn du sie benutzen willst.

Schließe die Ordner aus, die ständig neu geschrieben werden — nicht Defender selbst. Cloud-Sync-Ordner sind hier die schlimmsten, weil OneDrive, Google Drive und Dropbox den ganzen Tag Dateien herunterladen und neu schreiben, und jeder Schreibvorgang einen Neuscan auslöst. Füge in der Windows-Sicherheit, Viren- & Bedrohungsschutz, Einstellungen verwalten, Ausschlüsse, den konkreten Sync-Ordner oder das Build-Ausgabeverzeichnis hinzu, das die Unruhe verursacht. Sei dabei präzise. Das ganze Laufwerk C auszuschließen macht den Sinn von Defender zunichte, und MsMpEng.exe von sich selbst auszuschließen — was mehrere Anleitungen vorschlagen — bringt nichts, weil die Ausschlussliste für das ist, was gescannt wird, nicht für den Scanner.

Stell sicher, dass nicht zwei Antiviren-Engines laufen. Zwei Echtzeit-Scanner scannen am Ende einander, in einer Schleife, und die ganze Maschine zahlt dafür. Das passiert öfter, als man denkt. Der Grund ist, dass alte Antivirensoftware sich fast nie sauber deinstalliert — Norton, McAfee, Avast, sie alle lassen Teile zurück, die beim Start weiter geladen werden. Sie über Programme hinzufügen oder entfernen loszuwerden reicht nicht. Jeder Hersteller hat sein eigenes spezielles Entfernungstool; nimm das, führ es aus, starte neu.

Es gibt eine Variante der Schleife, die Defender selbst erzeugt. Er scannt seine eigene Quarantäne und seinen Cache. Er scannt den Downloads-Ordner — denselben Ordner, in den er ständig neue Definitionsupdates ablegt. Und im Kreis, und von außen sieht es aus wie ein außer Kontrolle geratener Prozess. Ich habe einen überfüllten Downloads-Ordner geleert und das Problem verschwinden sehen, ohne eine einzige Einstellung anzufassen.

Wenn es der Speicher ist, nicht die CPU

Viele landen hier, weil MsMpEng den RAM frisst statt der CPU, und die beiden haben unterschiedliche Schwellen für „normal”. Ein paar hundert Megabyte sind in Ordnung: das ist die Engine mit ihren geladenen Definitionen im Speicher, um Dateien schnell zu prüfen. Einen zweiten Blick verdient es erst, wenn er in die Gigabyte aufbläht und dort bleibt.

Hoher Speicher heißt fast immer, dass Defender etwas Großes liest und es während der Arbeit hält. Trifft er auf einen Ordner mit mehrere Gigabyte großen Archiven oder VM-Datenträgerabbildern, zieht er Teile davon in den RAM; die Zahl folgt der Größe dessen, woran er kaut. Die Lösung ist also dieselbe wie bei der CPU: die Ausschlüsse hindern ihn daran, diese Dateien immer wieder zu laden. Die Planung in die Leerlaufzeit hilft ebenfalls. Der Speicher fällt in dem Moment, in dem der Scan endet.

Was ich nicht täte, ist einer Speicherzahl hinterherzujagen, die eigentlich nicht stört. Wenn MsMpEng während eines Scans ein Gigabyte nutzt und deine Maschine 16 hat und gut läuft, lass es: das ist der Prozess, der verfügbaren Speicher nutzt, weil er da ist — wofür Speicher eben da ist. Der Fall, der zählt, ist RAM, der steigt und nie freigegeben wird, obwohl nichts scannt, auf einer Maschine, die jetzt ruckelt und auslagert. Das ist ein anderes Diagnoseproblem, und selten allein Defenders Schuld.

Warum „Defender einfach abschalten” nicht die Antwort ist

Den Echtzeitschutz zu deaktivieren bringt die Zahl ganz sicher zum Sinken. Es lässt die Maschine auch ohne irgendetwas, das sie überwacht, und im aktuellen Windows schaltet sie sich nach einem Neustart ohnehin wieder ein, außer du gehst weiter, als du solltest. Die richtige Form der Lösung ist, den Scan zu drosseln, ihn neu zu planen und die lauten Ordner auszuschließen: du behältst den Schutz und verlierst die Verlangsamung. Wenn du ihn wirklich für eine bestimmte Aufgabe abschalten musst, gibt es eine korrekte Reihenfolge, die den Manipulationsschutz einbezieht, statt einfach den Schalter umzulegen.

Wenn MsMpEng nach all dem noch festgenagelt ist, ohne laufenden Scan und ohne installiertes zweites Antivirenprogramm, behandle es als Symptom und nicht als die Krankheit. Ein Prozess, der den Namen von Defender trägt, aber in einem temporären Ordner statt in System32 lebt, ist getarnte Schadsoftware, und dass der echte so hart hängt, kann auf beschädigte Definitionen oder eine Festplatte, die darunter ausfällt, hindeuten. Jenseits der obigen Einstellungen bist du im Gebiet der Ereignisanzeige-Protokolle und der Ablaufverfolgung auf Prozessebene: die Art Arbeit, die ein paar Stunden braucht, um sie von Hand durchzukämmen, und bei der es oft schneller geht, wenn jemand das aus der Ferne prüft, als ein weiterer Nachmittag mit Versuch und Irrtum.