Was ist svchost.exe: Ein Prozess, der viele Dienste beherbergt

Ein Gastgeber, kein Programm

Windows-Dienste sind DLLs, und eine DLL startet sich nicht selbst — sie braucht einen Host-Prozess, in dem sie lebt. svchost.exe ist dieser Host: Eine Instanz lädt eine oder mehrere Dienst-DLLs und führt sie aus, weshalb das wahllose Abschießen von svchost alle Mitbewohner mitnimmt. Historisch wurden Dienste nach Berechtigungsstufe in gemeinsame Hosts gepackt, um Speicher zu sparen, als RAM noch knapp war; der Preis war, dass ein abstürzender Dienst seine Mitbewohner mitriss.

Seit dem Windows 10 Creators Update teilen Rechner mit mehr als 3,5 GB RAM die Dienste auf: Jeder Dienst bekommt seine eigene svchost-Instanz. Deshalb zeigt ein moderner PC Dutzende davon, und die nackte Zahl sagt gar nichts — viele Instanzen bedeuten Isolation, nicht Aufblähung. Ein abstürzender Dienst reißt jetzt nur noch sich selbst mit, und Sie sehen tatsächlich, welcher den Tadel verdient.

So sehen Sie, welcher Dienst wo steckt

Am schnellsten geht es im Task-Manager selbst: einen svchost-Eintrag in der Prozessansicht aufklappen, darunter erscheinen die Dienstnamen. Über die Kommandozeile geht es breiter — tasklist /svc druckt jeden svchost mit PID und den enthaltenen Diensten; diesen Befehl lohnt es sich zu merken. Der Process Explorer ergänzt die Befehlszeile des Hosts, wo der Gruppenname nach -k (etwa svchost.exe -k netsvcs) verrät, für welche Startgruppe der Prozess erzeugt wurde.

• Task-Manager → Prozesse: svchost-Eintrag aufklappen und die Dienstnamen darunter lesen
• Task-Manager → Reiter „Details“ und „Dienste“: PID-Spalte abgleichen und Host und Dienst nebeneinander sehen
• tasklist /svc im Terminal: jeder svchost mit PID und Diensten, ein Block pro Host
• Process Explorer: Die Spalte Command line zeigt die -k-Gruppe, z. B. svchost.exe -k netsvcs
• Der Services-Bereich im Process Explorer: was jeder Host treibt, live aktualisiert

Wann svchost-Last echte Arbeit ist — und wann eine Fälschung

Hohe CPU- oder Plattenlast in einem svchost ist fast immer ein Dienst, der seine Arbeit laut verrichtet: Windows Update (wuauserv) samt Orchestrator (UsoSvc), Delivery Optimization (DoSvc), SysMain beim Auffüllen des Standby-Speichers nach der Anmeldung oder der Diagnoserichtliniendienst (DPS) nach einem Netzwerkwechsel. Identifizieren Sie den Dienst, und Sie wissen, ob abwarten, Updates pausieren oder der Ursache nachgehen angesagt ist — bei verklemmter Update-Maschinerie ist ein Neustart der ehrliche erste Schritt. Windows-Update-Last ist zudem selbstlimitierend: eine bis zwei Stunden nach dem Einspielen der Patches, dann verschwindet sie bis zur nächsten Runde.

Das echte svchost.exe liegt in C:\Windows\System32 und ist von Microsoft signiert; alles, was sich svchost.exe nennt, aber aus einem Benutzerprofil, Temp oder AppData läuft, ist Malware im vertrauten Kostüm. Prüfen Sie, bevor Sie Windows selbst verdächtigen: Rechtsklick auf den Prozess → „Dateispeicherort öffnen“ oder die Spalte „Pfad zum Image“ im Reiter „Details“. Pfad und Signatur beenden die Frage in zehn Sekunden.

Fragen und Antworten

Weiterlesen