Antimalware Service Executable: warum MsMpEng.exe die CPU frisst
Der Task-Manager zeigt 40 % CPU für einen Prozess, den niemand gestartet hat. Was Microsoft Defender wirklich tut, die drei Muster hinter dauerhaft lautem MsMpEng.exe — und die Ausnahmen, die das Problem lösen, ohne den Schutz abzuschalten.
Task-Manager, nach CPU sortiert. Ganz oben: Antimalware Service Executable, 38 %. Nichts ist offen. Nichts lädt. Der Lüfter sieht das anders.
Der Name erklärt nichts — genau darin liegt das Problem. Hier steht, was der Prozess ist, warum er sich so verhält, und welche der vier verbreiteten Lösungen die ist, die dich nicht deinen Virenschutz kostet.
Was der Prozess wirklich ist
MsMpEng.exe ist Microsoft Defender Antivirus. Nicht das Fenster, das du über die Taskleiste öffnest — das ist Windows-Sicherheit, eine Oberfläche. MsMpEng.exe ist der Dienst darunter, und er erledigt zwei Aufgaben, die im Task-Manager identisch aussehen und in der Ursache nichts miteinander zu tun haben.
Echtzeitschutz. Jede Datei, die geöffnet, geschrieben, umbenannt oder ausgeführt wird, wird geprüft, bevor das aufrufende Programm seine Antwort bekommt. Das läuft synchron. Ein Compiler, der 40 000 Objektdateien schreibt, wartet 40 000 Mal auf Defender.
Geplanter Scan. Ein Vollscan läuft nach eigenem Zeitplan über die Platte. Windows zielt auf den Leerlauf, und seine Vorstellung von Leerlauf ist großzügig — drei Minuten ohne Eingabe zählen schon.
Unter Windows 11 ist ein Teil davon in MpDefenderCoreService.exe gewandert. Gleiche Engine, gleiche Ursachen; wer nur einen der beiden Namen kennt, hat im anderen nichts Neues auf dem Rechner.
Die drei Muster hinter dauerhafter Last
Ein Ordner voller kleiner Dateien, den etwas ständig neu schreibt
Das ist der häufigste Fall, und es ist fast immer eine Entwickler- oder eine Gaming-Maschine. Echtzeitschutz rechnet pro Datei ab, nicht pro Gigabyte. Eine 8-GB-Videodatei kostet fast nichts. Ein node_modules-Ordner mit 200 000 Dateien kostet mehr als das Video — bei jedem Build erneut.
Die üblichen Verdächtigen, nach Häufigkeit:
| Ordner | Warum er teuer ist |
|---|---|
node_modules, target, build, .gradle | zehntausende kleine Dateien, bei jedem Build neu geschrieben |
%LOCALAPPDATA%\Docker | Layer-Speicher, den Pulls und Builds ständig umschreiben |
WSL-Laufwerksdateien (ext4.vhdx) | eine riesige Datei, die sich permanent ändert |
| Patch-Ordner von Spiele-Launchern | tausende Dateien bei jedem Update |
%TEMP% | was die Werkzeugkette dort den ganzen Tag ablegt |
Ein geplanter Scan, der nie einen Leerlauf findet
Der Vollscan soll laufen, wenn du weg bist. Ist der Rechner nie weg — ein Desktop, der durchläuft, ein Notebook, das nur nachts schläft —, startet Windows ihn trotzdem und lässt ihn gegen deine Arbeit antreten. Das Erkennungszeichen: hohe Last ungefähr zur selben Tageszeit, ungefähr gleich lang, danach einen Tag Ruhe.
Etwas anderes erzeugt die Dateiaktivität, Defender trägt nur die Rechnung
Der Fall, der die meisten auf die falsche Fährte schickt. Defender ist der Prozess, den man im Task-Manager sieht, aber die Ursache ist ein Backup-Programm, ein Sync-Client, ein Indexdienst oder ein Updater, der sich durch Dateien arbeitet. Defender ist laut, weil etwas anderes beschäftigt ist. Defender abzuschalten hieße, das Symptom eines Symptoms zu behandeln.
Die drei auseinanderzuhalten geht über eine Frage: Wer erzeugt die Dateiaktivität — nicht, wer erzeugt die CPU-Last. Der Task-Manager sagt es nicht. Der Ressourcenmonitor (resmon, Reiter Datenträger, „Prozesse mit Datenträgeraktivität") sagt es.
Was zu tun ist — in der Reihenfolge, die am wenigsten kostet
1. Erst hinsehen, dann ändern. resmon → Datenträger. Nach „Gesamt (B/s)" sortieren. Steht dort ein anderer Name als MsMpEng.exe oben, ist das deine eigentliche Ursache, und der Rest dieser Liste ist optional.
2. Ordner ausnehmen, die reines Build-Ergebnis sind. Windows-Sicherheit → Viren- & Bedrohungsschutz → Einstellungen verwalten → Ausschlüsse. Ordner eintragen, keine Dateitypen:
C:\Users\<du>\source\repos
C:\Users\<du>\AppData\Local\Docker
C:\Users\<du>\AppData\Local\Packages\...\LocalCache (nur wenn eine bestimmte App die Ursache ist)Ein Ausschluss ist ein Loch. Ein Build-Ordner, in dem ausschließlich neu erzeugbares Ergebnis liegt, ist ein vertretbares Loch; C:\Users ist keins, und C:\ erst recht nicht. Wenn dir eine Anleitung rät, MsMpEng.exe selbst auszunehmen, schließ den Tab — das ist genau der Ausschluss, um den ein Angreifer dich bitten würde.
3. Den geplanten Scan verlegen. Aufgabenplanung → Bibliothek → Microsoft → Windows → Windows Defender → Windows Defender Scheduled Scan → Bedingungen. Dort steht „Aufgabe nur starten, falls Computer im Leerlauf ist seit" — die Zeit hochzusetzen ist ehrlicher, als die Aufgabe zu deaktivieren.
4. Prüfen, ob es überhaupt Defender ist. Wenn du ein anderes Antivirenprogramm installiert hast, sollte Defender in den passiven Modus gewechselt sein. Zwei Engines, die gegenseitig ihre Scans scannen, sind ein bekannter Weg, einen schnellen Rechner nach 2009 aussehen zu lassen.
Was du nicht tun solltest
Den Echtzeitschutz nicht „zum Testen" abschalten. Der Manipulationsschutz schaltet ihn wieder ein, meist binnen Minuten, und du wirst schließen, die Maßnahme habe nicht gewirkt — dabei war sie nie aktiv.
Den Defender-Platform-Ordner nicht löschen. Er liegt unter C:\ProgramData\Microsoft\Windows Defender\Platform, enthält mehrere Versionen und sieht nach verschwendetem Platz aus. Ist er nicht — Windows behält die vorherige Engine-Version, damit ein Update zurückgenommen werden kann.
Dem Registry-Rat DisableAntiSpyware nicht folgen. Microsoft hat seine Wirkung genau deshalb entfernt. Alte Anleitungen führen ihn weiter, und er bewirkt nichts außer dem Gefühl, etwas versucht zu haben.
Warum eine Zeile Erklärung mehr wert ist als eine Liste von Namen
Der Task-Manager gibt dir einen Namen und einen Prozentwert. Was er verschweigt, ist der Satz, der aus dem Namen eine Entscheidung macht: Das ist Defender, der Dateien beim Schreiben prüft. Steht der Satz da, ist die nächste Frage offensichtlich — wer schreibt die Dateien? — und die Antwort ist ein Ordner, den man ausnehmen kann, kein Dienst, den man abschießen sollte.
Genau das liefert BalaneDisk mit: Jeder laufende Prozess bekommt eine Klartext-Zeile auf Deutsch oder Englisch neben seiner Einordnung, und die Einordnung kommt aus der Authenticode-Signatur der Datei, nicht aus ihrem Namen. Ein Prozess, der sich MsMpEng.exe nennt, aber aus einem anderen Ordner als C:\ProgramData\Microsoft\Windows Defender\Platform läuft und keine Microsoft-Signatur trägt, ist der eine Fall in diesem Artikel, der kein Leistungsproblem ist.
Weiter: Windows-Speicher voll: wo der Platz wirklich hingeht · Wohin sendet mein PC Daten?
- Was ist Antimalware Service Executable?
- Es ist der Hintergrunddienst von Microsoft Defender Antivirus, die Datei auf der Platte heißt MsMpEng.exe. Er führt den Echtzeitschutz aus — jede Datei, die geöffnet, geschrieben oder ausgeführt wird, läuft durch ihn hindurch, bevor das anfragende Programm eine Antwort bekommt. Unter Windows 11 trägt ein zweiter Prozess, MpDefenderCoreService.exe, einen Teil derselben Arbeit.
- Kann ich Antimalware Service Executable deaktivieren?
- Nicht dauerhaft, und nicht aus dem Task-Manager heraus. Der Manipulationsschutz macht einen abgeschalteten Echtzeitschutz binnen Minuten rückgängig, und der Registry-Weg wird vom nächsten Update überschrieben. Was geht: einschränken, was geprüft wird — Ausnahmen für Build-Ordner und virtuelle Laufwerke — und den geplanten Vollscan auf eine Zeit legen, zu der niemand arbeitet.
- Ist hohe CPU-Last durch MsMpEng.exe normal?
- Schubweise ja: nach einem Update, beim ersten Start eines neuen Programms, während eines Builds, der tausende Dateien schreibt. Dauerhaft hoch bei leerem Rechner ist nicht normal, und die übliche Ursache ist ein Ordner voller kleiner Dateien, den ein anderes Werkzeug ständig neu schreibt — node_modules, ein Docker-Layer-Speicher, das Patch-Verzeichnis eines Spiele-Launchers.