WindowServer, mds_stores, kernel_task: was diese Prozesse wirklich tun

Der Lüfter dreht hoch, du öffnest die Aktivitätsanzeige, und ganz oben steht mds_stores bei 240 %. Der Name erklärt nichts, die Spalte daneben auch nicht, und im Netz findet man vier Foren-Threads mit fünf widersprüchlichen Ratschlägen.

Das hier ist die kurze Liste der Namen, die tatsächlich oben stehen — und was sie bedeuten.

Die zwölf häufigsten

Alles darüber hinaus ist entweder ein Programm, das du kennst — oder eines, das eine Erklärung verdient.

Drei Muster, die eine Erklärung verdienen

Ein Prozess mit Versionsnummer statt Namen. Helper (Renderer), com.example.updater.v2 — der Name sagt nichts, der Pfad umso mehr. Die Zuordnung läuft über den Pfad, nicht über den Prozessnamen.

Ein Prozess aus einem temporären Ordner. Alles, was aus /tmp, /var/folders oder dem Download-Ordner läuft, ist nicht automatisch bösartig — Installer und Build-Werkzeuge sehen exakt so aus. Es ist die kurze Liste, die zu lesen sich lohnt.

Ein Prozess ohne gültige Signatur. Auf macOS ist das die Ausnahme. Nicht jede Ausnahme ist ein Angriff (selbst kompilierte Binaries, ältere Open-Source-Werkzeuge), aber jede verdient einen Blick.

Wie du einen Namen bestimmst, der auf keiner Liste steht

Vier Befehle, in der Reihenfolge, die am meisten mit dem wenigsten beantwortet. Die PID steht in der ersten Spalte der Aktivitätsanzeige.

ps -p 1234 -o comm=,args=          der vollständige Pfad und die Startargumente
lsof -p 1234 | head -40            die Dateien und Sockets, die er gerade hält
codesign -dv --verbose=4 /Pfad     wer signiert hat, und mit welchem Bezeichner
spctl -a -vv /Pfad                 ob macOS ihn heute noch starten ließe

Der Pfad ist meist die ganze Antwort. /Applications/Irgendwas.app/Contents/MacOS/Helper ist ein Helfer eines Programms, das du installiert hast. /Users/du/Downloads/installer_v3, drei Wochen nachdem du den Installer ausgeführt hast, ist ein anderes Gespräch.

Was an der codesign-Ausgabe zählt: Die Authority-Zeilen benennen die Zertifikatskette, der Identifier ist der Bundle-Bezeichner, den die Entwickler gewählt haben. Ein Bezeichner, der nicht zum Programmnamen passt, ist nicht automatisch falsch — aber der Faden, an dem man zieht.

Die Spalten der Aktivitätsanzeige, die in die Irre führen

% CPU über 100. Kein Fehler und kein Notfall. Der Wert gilt pro Kern: 400 % auf einem Achtkerner heißt vier Kerne ausgelastet — und die halbe Maschine ist noch frei.

Energie-Einwirkung. Eine von Apple gewichtete Mischung aus CPU, Aufwachvorgängen und GPU-Nutzung. Nützlich für Akkufragen, nutzlos für „warum ist das langsam" — ein Prozess kann oben in der Energieliste stehen und dich keine Reaktionszeit kosten.

Speicher gegen komprimierter Speicher. Die Spalte Speicher ist das, was ein Prozess hält; komprimiert ist das, was das System zusammengepackt hat, weil es selten angefasst wurde. Kompression ist das System bei der Arbeit, kein Problem — siehe Speicherdruck statt freiem RAM.

Threads und Ports. Für Entwickler interessant, für alle anderen Rauschen. Ein Prozess mit 900 Threads ist deshalb nicht verdächtig.

Warum eine Liste ohne Erklärungen nichts hilft

Die Aktivitätsanzeige zeigt Namen und Zahlen. Was sie nicht liefert: den Satz, der aus einem Namen eine Entscheidung macht. „WindowServer zeichnet deinen Bildschirm“ ist dieser Satz. Er kostet dich zehn Sekunden Recherche — bei zwölf Prozessen zwei Minuten, bei den 198, die auf einem normalen Mac laufen, einen Nachmittag.

Genau deshalb bringt BalaneDisk eine lokalisierte Erklär-Datenbank mit: jeder bekannte Prozess bekommt einen Satz Klartext, auf Deutsch und auf Englisch, und daneben die Ampel — signiert, unbekannt, auffällig. Kein anderes vergleichbare Werkzeug übersetzt diesen Teil.

Was du beim nächsten Lüfter-Konzert tust

1. 01Namen ablesen — und in der Tabelle oben nachsehen.
2. 02Ist es Spotlight, Fotos oder Time Machine: warten. Diese drei sind endlich.
3. 03Ist es kernel_task: Wärmequelle suchen (Ladegerät, Sonne, blockierte Lüftung), nicht den Prozess.
4. 04Ist es WindowServer ohne sichtbare Bewegung: Fenster schließen, bis die Last fällt — der letzte Schuldige ist der Schuldige.
5. 05Steht dort ein Name, den du nicht zuordnen kannst: Pfad ansehen, Signatur prüfen, dann entscheiden.

Weiter: Speicherdruck ist nicht freier Speicher · Was dein Mac wirklich tut · Windows-Rechner? Warum MsMpEng.exe die CPU frisst