Process Explorer Anleitung: Windows-Prozesse analysieren

Diese Process Explorer Anleitung zeigt Dir, wie Du CPU-Fresser erkennst, den Speicherverbrauch untersuchen kannst und herausfindest, welches Programm eine Datei geöffnet hält. Außerdem zeigen wir, wie Du unbekannte Windows-Prozesse überprüfen kannst, ohne durch vorschnelles Beenden neue Probleme zu verursachen.

Besonders hilfreich ist das, wenn Dein PC plötzlich laut wird, eine Anwendung hängt oder sich eine Datei nicht umbenennen lässt. Mit dem Sysinteral Tool „Process Explorer“ kannst Du dies alles recht schnell erledigen.

Was ist Process Explorer und wofür brauchst Du das Programm?

Process Explorer ist ein kostenloses Diagnoseprogramm aus der Microsoft-Sysinternals-Werkzeugsammlung. Es zeigt laufende Windows-Prozesse, deren Beziehungen untereinander und technische Details zu CPU-Auslastung, Arbeitsspeicher, geöffneten Objekten und geladenen Programmbibliotheken.

Ein Prozess ist eine laufende Programminstanz. Windows vergibt dafür eine Prozess-ID, kurz PID. Mehrere Prozesse können denselben Dateinamen besitzen, unterscheiden sich aber durch ihre PID. Deshalb reicht der Name allein nicht aus, um einen bestimmten Prozess eindeutig auszuwählen. Eine PID gilt für die jeweilige laufende Instanz und kann nach deren Ende erneut vergeben werden.

Process Explorer eignet sich vor allem zur Ursachenanalyse. Es ist kein automatisches Reparaturprogramm, kein RAM-Reiniger und kein Ersatz für einen Virenschutz.

Process Explorer, Task-Manager oder Process Monitor: Was ist der Unterschied?

Werkzeug	Geeignet für	Typische Frage
Task-Manager	Schneller Überblick über Programme und Systemauslastung	Welche Anwendung verbraucht gerade viele Ressourcen?
Process Explorer	Detaillierte Untersuchung laufender Prozesse, Handles und DLLs	Welcher Prozess gehört zu diesem Fenster oder hält diese Datei geöffnet?
Process Monitor	Aufzeichnung einzelner Dateisystem-, Registry- und Prozessereignisse	Auf welche Datei greift das Programm zu, bevor der Fehler auftritt?

Für eine erste Kontrolle genügt es häufig, den Task-Manager unter Windows 11 zu öffnen. Brauchst Du eine zeitliche Folge einzelner Zugriffe, ist dagegen die Fehleranalyse mit Process Monitor die passendere Ergänzung.

Process Explorer herunterladen und unter Windows starten

Die aktuelle Process-Explorer-Ausgabe setzt auf Desktop-PCs Windows 11 oder neuer voraus. Für Server gilt Windows Server 2019 oder neuer. Übertrage deshalb ältere Kompatibilitätsangaben zu Windows 10 nicht ungeprüft auf eine aktuelle Version.

Auf einem Firmenrechner solltest Du vorab klären, ob Du zusätzliche Diagnosewerkzeuge ausführen darfst. Speichere außerdem offene Dokumente. Das reine Beobachten beendet keine Programme, einige später beschriebene Funktionen greifen jedoch direkt in laufende Prozesse ein.

Schritt 1: ZIP-Datei herunterladen und vollständig entpacken

Du kannst hier Process Explorer herunterladen. Entpacke die ZIP-Datei anschließend vollständig in einen eigenen Ordner, beispielsweise C:\Tools\ProcessExplorer. Dafür kann Windows je nach Zielordner Administratorrechte verlangen.

Starte das Programm nicht nur aus der Vorschau des ZIP-Archivs. Ein fester Ordner erleichtert spätere Updates und verhindert, dass Du versehentlich eine temporär entpackte Kopie verwendest. Ein klassischer Installationsassistent ist nicht erforderlich.

Schritt 2: Process Explorer öffnen

Starte procexp.exe aus dem entpackten Ordner und bestätige beim ersten Aufruf die Lizenzbedingungen. Für viele Informationen zu Deinen eigenen Anwendungen genügt ein normaler Start.

Möchtest Du systemweite Prozesse umfassender untersuchen, schließe das Programm und starte es über einen Rechtsklick auf die Programmdatei mit Als Administrator ausführen. Bestätige die Benutzerkontensteuerung nur, wenn Du die Datei bewusst aus dem zuvor entpackten Paket gestartet hast.

Schritt 3: Sinnvolle Spalten einblenden

Öffne View und anschließend Select Columns. Für den Einstieg sind Process beziehungsweise der Prozessname, PID, CPU, Private Bytes und Working Set besonders hilfreich. Zusätzliche Spalten wie Command Line und Verified Signer kannst Du bei Bedarf ergänzen.

Ziehe die Spaltenüberschriften in eine sinnvolle Reihenfolge und verbreitere wichtige Felder. Die vollständige Befehlszeile ist häufig deutlich länger als der eigentliche Programmname.

Process Explorer Anleitung: Oberfläche und Prozessbaum verstehen

Im oberen Fensterbereich siehst Du die laufenden Prozesse. Eine eingerückte Darstellung bildet den Prozessbaum ab. Er zeigt, welcher noch zugeordnete übergeordnete Prozess einen anderen Prozess gestartet hat.

Das ist beispielsweise bei Browsern, Installationsprogrammen und Anwendungen mit Hilfsprozessen nützlich. Ein einzelnes sichtbares Programmfenster kann zu mehreren Prozessen gehören. Die Einrückung bedeutet aber nicht, dass ein untergeordneter Prozess ausschließlich zusammen mit seinem ursprünglichen Elternprozess existieren kann.

Nach Werten sortieren und zum Prozessbaum zurückkehren

Ein Klick auf eine Spaltenüberschrift sortiert die Liste. Klicke beispielsweise auf CPU, bis die höchsten Werte oben stehen. Für die Baumansicht wählst Du View und Show Process Tree oder drückst Strg + T.

Neu gestartete Prozesse erscheinen bei der üblichen Farbkonfiguration kurz grün. Beendete Prozesse werden vorübergehend rot markiert. Diese Farben zeigen Veränderungen und sind keine Malware-Warnung. Weitere Hervorhebungen kannst Du unter Options und Configure Highlighting nachvollziehen.

Mit dem Fadenkreuz den Prozess zu einem Fenster finden

Halte das Fadenkreuzsymbol in der Symbolleiste mit der linken Maustaste fest. Ziehe es auf das Fenster, das Du untersuchen möchtest, und lasse die Maustaste los. Process Explorer markiert den zugehörigen Prozess.

Das hilft bei schlecht beschrifteten Dialogen oder unbekannten Programmfenstern. Bei Browsern findest Du damit allerdings nicht automatisch den einzelnen Tab, der gerade die CPU belastet. Dafür kann zusätzlich die prozessbezogene Übersicht des Browsers erforderlich sein.

Hohe CPU-Auslastung mit Process Explorer untersuchen

Eine hohe CPU-Auslastung ist zunächst nur ein Messwert. Entscheidend ist, welches Programm arbeitet, wie lange die Belastung anhält und ob sie zu Deiner aktuellen Tätigkeit passt. Ein Videoexport darf viel Rechenleistung beanspruchen. Eine dauerhaft stark beschäftigte Anwendung im Leerlauf verdient dagegen einen genaueren Blick.

1. Sortiere die Prozessliste nach CPU absteigend.
2. Führe die Tätigkeit aus, bei der Dein PC langsam wird oder der Lüfter hochdreht.
3. Beobachte, welcher Prozess wiederholt oben steht. Notiere seinen Namen und seine PID.
4. Öffne den Prozess per Doppelklick und kontrolliere unter Performance Graph den Verlauf.
5. Beende die auslösende Tätigkeit regulär und prüfe, ob die Auslastung anschließend zurückgeht.

Ein kurzer Ausschlag beim Programmstart ist etwas anderes als eine dauerhaft hohe Belastung. Vergleiche deshalb mehrere Messintervalle und ändere während der Prüfung möglichst nur eine Sache.

Wichtig: System Idle Process steht für ungenutzte Prozessorzeit. Ein hoher Wert bei diesem Eintrag ist kein CPU-Fresser und kein Grund zum Eingreifen.

Über Threads tiefer in einen auffälligen Prozess schauen

Ein Thread ist ein Ausführungsstrang innerhalb eines Prozesses. Im Eigenschaftenfenster findest Du unter Threads eine Übersicht dieser Ausführungsstränge. Sortierst Du dort nach CPU, lässt sich erkennen, ob sich die Belastung auf einen bestimmten Thread konzentriert.

Die Stack-Ansicht kann weitere Hinweise auf beteiligte Programmfunktionen liefern. Ohne passend eingerichtete Debugsymbole bleiben Teile der Anzeige allerdings schwer verständlich. Für den Einstieg genügt es, Prozessname, Pfad, Auslastungsverlauf und den reproduzierbaren Auslöser festzuhalten. Beende keine einzelnen Threads auf Verdacht.

Bei Windows-Komponenten hilft anschließend eine gezielte Einordnung. Ein auffälliger WMI Provider Host hat andere mögliche Ursachen als eine hohe Belastung durch Antimalware Service Executable. Sicherheitsprozesse solltest Du nicht einfach abschalten.

Findest Du keinen dauerhaft auffälligen Prozess, solltest Du auch andere Ursachen berücksichtigen. Die Anleitung PC langsam: Was tun? hilft bei der weiteren Eingrenzung.

Arbeitsspeicher analysieren: Private Bytes und Working Set richtig lesen

Beim Speicherverbrauch ist die gewählte Spalte entscheidend. Process Explorer zeigt mehrere unterschiedliche Messgrößen. Keine davon darfst Du ohne Weiteres mit allen anderen Speicheranzeigen gleichsetzen.

Messwert	Bedeutung	Worauf Du achten solltest
Private Bytes	Privat zugesicherter virtueller Speicher des Prozesses	Dieser Wert entspricht nicht automatisch der aktuell belegten physischen RAM-Menge.
Working Set	Speicherseiten des Prozesses, die sich aktuell im physischen Arbeitsspeicher befinden	Der Wert kann auch gemeinsam genutzte Seiten enthalten.
WS Private	Privater Anteil des Working Sets	Zeigt den im RAM befindlichen Anteil, der nicht mit anderen Prozessen geteilt wird.

Du solltest die Working-Set-Werte aller Prozesse nicht einfach addieren und das Ergebnis als tatsächliche Gesamtauslastung des RAM interpretieren. Gemeinsam genutzte Speicherseiten können dabei mehrfach auftauchen.

So grenzt Du einen ungewöhnlichen Speicheranstieg ein

Sortiere zunächst nach Private Bytes oder Working Set, abhängig von Deiner Fragestellung. Öffne anschließend die Eigenschaften einer auffälligen Anwendung und beobachte ihren Speicherverlauf unter vergleichbaren Bedingungen.

Ein Beispiel: Du öffnest und schließt innerhalb desselben Programms mehrfach dasselbe größere Dokument. Steigen die Private Bytes dabei immer weiter, ohne sich nach einer Ruhephase zu stabilisieren, ist das ein Ansatzpunkt für weitere Untersuchungen. Es ist aber noch kein Beweis für ein Speicherleck.

Programme halten häufig Daten für eine spätere Wiederverwendung bereit. Entscheidend sind deshalb der längerfristige Verlauf, die ausgeführte Aufgabe und die Frage, ob tatsächlich Speicherdruck oder Fehlermeldungen entstehen. Lege keine pauschale Grenze fest, ab der jeder Prozess automatisch problematisch wäre.

Gesperrte Datei finden: Welcher Prozess hält sie geöffnet?

Wenn sich eine Datei nicht umbenennen, verschieben oder löschen lässt, kann Process Explorer den Prozess finden, der sie geöffnet hat. Dafür nutzt Du die Suche nach Handles.

Ein Handle ist eine Referenz, über die ein Prozess auf ein Windows-Objekt zugreift. Dazu zählen Dateien, aber beispielsweise auch Registrierungsschlüssel und Synchronisationsobjekte. Nicht jedes Handle ist deshalb ein Dateizugriff.

Schritt für Schritt mit Find Handle or DLL suchen

1. Starte Process Explorer bei Bedarf mit Administratorrechten.
2. Drücke Strg + F oder öffne Find und Find Handle or DLL.
3. Gib einen möglichst eindeutigen Teil des Dateinamens ein, beispielsweise Projektbericht.xlsx.
4. Starte die Suche und kontrolliere bei jedem passenden Treffer den vollständigen Pfad.
5. Öffne den Treffer per Doppelklick, um den zugehörigen Prozess und den gefundenen Eintrag auszuwählen.
6. Schließe zunächst das betreffende Dokument oder die dazugehörige Anwendung auf normalem Weg.
7. Prüfe anschließend erneut, ob sich die Datei bearbeiten, umbenennen oder verschieben lässt.

Der genaue Pfad ist wichtig, weil mehrere Dateien gleich heißen können. Außerdem bedeutet ein offenes Datei-Handle nicht automatisch, dass genau dieser Zugriff die gewünschte Aktion blockiert. Welche Zugriffe parallel erlaubt sind, hängt davon ab, wie die Datei geöffnet wurde.

Manchmal hält auch eine Vorschau oder ein Hilfsprozess eine Datei geöffnet. In solchen Fällen ist die Einordnung von COM Surrogate unter Windows hilfreich. Weitere Möglichkeiten findest Du in der Anleitung Wer hat diese Datei im Zugriff?.

Warum Du Close Handle nicht als Standardlösung verwenden solltest

Mit Close Handle lässt sich ein Handle gewaltsam schließen. Dadurch kann die Anwendung jedoch in einen unerwarteten Zustand geraten. Abstürze, fehlgeschlagene Schreibvorgänge oder Datenverlust sind mögliche Folgen.

Schließe daher möglichst das Dokument oder das Programm selbst. Falls tatsächlich die Windows-Oberfläche betroffen ist, kann ein kontrollierter Neustart des Windows-Explorers sinnvoller sein. Auch dabei solltest Du vorher laufende Kopieraktionen abschließen.

Unbekannte Prozesse prüfen: Dateipfad, Befehlszeile und Signatur

Ein vertrauter Prozessname beweist nicht, dass eine Datei unbedenklich ist. Umgekehrt ist ein unbekannter Name noch kein Hinweis auf Schadsoftware. Beurteile mehrere Merkmale zusammen.

Öffne den Prozess per Doppelklick und wechsle zu Image. Kontrolliere den vollständigen Dateipfad, die Befehlszeile, die Versionsinformationen und den angegebenen Hersteller. Vergleiche diese Angaben mit dem Programm, das Du bewusst gestartet oder installiert hast.

Ein Herstellername in den Dateieigenschaften ist dabei nicht dasselbe wie eine erfolgreich geprüfte digitale Signatur. Auch ein Speicherort im Benutzerprofil ist allein kein Malware-Beweis, da viele reguläre Anwendungen dort installiert werden.

Digitale Signaturen mit Verified Signer prüfen

Aktiviere unter Options die Funktion Verify Image Signatures. Blende bei Bedarf über View und Select Columns die Spalte Verified Signer ein.

Eine gültige Signatur bestätigt die Zuordnung zum angegebenen Signierer und die Integrität der signierten Datei im Rahmen der Prüfung. Sie garantiert nicht, dass das Programm in jeder Situation sicher oder erwünscht ist.

Umgekehrt kann eine fehlgeschlagene Prüfung an einer unsignierten Datei, einem Vertrauensproblem oder einer nicht möglichen Zertifikatsprüfung liegen. Triff deshalb keine Löschentscheidung allein anhand dieses Status.

Optionale VirusTotal-Prüfung bewusst einsetzen

Process Explorer bietet im Menü Options eine integrierte VirusTotal-Prüfung. Dabei können Datei-Hashes zur Bewertung übermittelt werden. Ein Hash ist ein rechnerisch erzeugter Fingerabdruck einer Datei, nicht deren vollständiger Inhalt.

Einfach mit der rechten Maustaste auf den „verdächtigen“ Prozess klicken und dann die Option „Check VirusTotal.com“ auswählen.

Die zusätzliche Option Submit Unknown Executables kann unbekannte Programmdateien hochladen. Aktiviere sie auf einem Firmenrechner nicht ohne ausdrückliche Freigabe. Auch für Hash-Abfragen können betriebliche Datenschutz- und Sicherheitsvorgaben gelten.

Ein Ergebnis ohne Erkennung ist kein Beweis für Schadsoftwarefreiheit. Ebenso kann eine einzelne Erkennung ein Fehlalarm sein. Bei einem begründeten Verdacht solltest Du die Datei nicht weiter ausführen und Windows vollständig auf Malware prüfen.

Prozesse beenden, anhalten oder neu starten: Welche Funktion ist richtig?

Nutze die Eingriffsmöglichkeiten erst, wenn Du den Prozess sicher zugeordnet hast. Bei einer eigenen, nicht mehr reagierenden Anwendung kann ein erzwungenes Beenden sinnvoll sein. Ungespeicherte Änderungen gehen dabei verloren.

Funktion	Wirkung	Wichtiges Risiko
Kill Process	Beendet den ausgewählten Prozess erzwungen	Die Anwendung bekommt keine normale Gelegenheit zum Speichern und Aufräumen.
Kill Process Tree	Beendet zusätzlich die zugehörigen untergeordneten Prozesse	Weitere Fenster, Hilfsprogramme oder laufende Aufgaben können betroffen sein.
Suspend	Hält die Ausführung des Prozesses an	Belegte Ressourcen und Dateizugriffe bleiben bestehen. Andere Abläufe können dadurch warten.
Resume	Setzt einen angehaltenen Prozess fort	Die ursprüngliche Fehlerursache wird dadurch nicht automatisch behoben.
Restart	Beendet den Prozess und startet ihn erneut	Der vorherige Arbeitszustand und ungespeicherte Inhalte werden nicht wiederhergestellt.

Die Funktionen erreichst Du über das Kontextmenü des Prozesses. Lasse die Bestätigung vor dem Beenden aktiviert. Prüfe vor einem Eingriff nochmals PID, Pfad und Programmzuordnung.

Beende keine kritischen Windows-Prozesse wie csrss.exe, lsass.exe oder wininit.exe. Auch Prozesse für Datensicherung, Verschlüsselung und Sicherheitssoftware sind keine geeigneten Kandidaten für Experimente.

Eine höhere Priorität repariert keine fehlerhafte Anwendung. Insbesondere Echtzeit-Priorität kann andere wichtige Abläufe beeinträchtigen. Für die normale Fehlersuche solltest Du solche Einstellungen unverändert lassen.

Weitere Funktionen: DLLs, Dienste und Netzwerkverbindungen untersuchen

Geladene DLLs und geöffnete Handles anzeigen

Markiere einen Prozess und blende mit Strg + L den unteren Fensterbereich ein. Mit Strg + D wechselst Du zur DLL-Ansicht, mit Strg + H zur Handle-Ansicht.

Eine DLL ist eine Programmbibliothek, deren Funktionen von einer Anwendung genutzt werden können. Die DLL-Ansicht hilft Dir beispielsweise festzustellen, aus welchem Ordner eine geladene Bibliothek stammt. Das ist bei Versionskonflikten oder unerwartet geladenen Komponenten nützlich.

Die Liste zeigt geladene Bibliotheken und in den Speicher eingeblendete Dateien. Sie ist keine vollständige Liste aller Dateien, die ein Programm irgendwann benötigen könnte. Lade deshalb nicht wahllos einzelne DLL-Dateien herunter, nur weil Du eine bestimmte Bibliothek in dieser Ansicht nicht findest.

Windows-Dienste einem Prozess zuordnen

Bei einem diensthostenden Prozess kann das Eigenschaftenfenster einen Reiter Services enthalten. Dort erkennst Du, welche Dienste mit diesem Prozess verbunden sind.

Besonders bei svchost.exe ist diese Zuordnung hilfreich. Teilen sich mehrere Dienste einen Prozess, lässt sich dessen gesamte CPU-Auslastung aber nicht allein anhand der Diensteliste eindeutig einem einzelnen Dienst zuweisen.

Für einen späteren kontrollierten Eingriff solltest Du die Abhängigkeiten berücksichtigen. Die Anleitung zum Starten und Stoppen von Windows-Diensten erklärt das passende Vorgehen.

TCP/IP-Verbindungen eines Prozesses prüfen

Unter TCP/IP kannst Du zugeordnete TCP-Verbindungen und UDP-Endpunkte untersuchen. Das hilft bei der Frage, welcher Prozess einen Port verwendet oder mit einer entfernten Adresse verbunden ist.

Die Anzeige verrät jedoch nicht automatisch, welche Inhalte übertragen werden. Eine unbekannte IP-Adresse ist deshalb weder ein Beweis für Schadsoftware noch ein verlässliches Urteil über die Sicherheit einer Verbindung.

Praxistipps: Ergebnisse sichern und typische Fehler vermeiden

Eine Momentaufnahme exportieren

Über File und Save kannst Du die aktuelle Ansicht als Textdatei sichern. Das ist eine Momentaufnahme und keine fortlaufende Ereignisaufzeichnung.

Notiere ergänzend Datum, Uhrzeit, betroffene Anwendung und die Handlung, mit der Du das Problem auslösen konntest. Entferne vor dem Weitergeben interne Pfade, Benutzernamen und vertrauliche Angaben aus Befehlszeilen. So lässt sich die Beobachtung später nachvollziehen, ohne unnötig Informationen offenzulegen.

Eine eingefrorene Anzeige nicht mit einem angehaltenen Prozess verwechseln

Unter View und Update Speed lässt sich die Aktualisierung der Anzeige verändern oder pausieren. Eine pausierte Anzeige stoppt nicht die beobachteten Programme. Wenn Werte scheinbar nicht mehr wechseln, kontrolliere daher zuerst diese Einstellung.

Wenn ein beendeter Prozess sofort wieder erscheint

Ein Dienst, eine geplante Aufgabe oder ein übergeordnetes Programm kann einen Prozess erneut starten. Wiederholtes Beenden beseitigt diesen Startmechanismus nicht.

Untersuche stattdessen die Herkunft des automatischen Starts. Mit Autoruns unter Windows 11 kannst Du passende Autostart-Einträge genauer prüfen. Deaktiviere dabei nur Einträge, deren Funktion und Folgen Du verstanden hast.

FAQ: Häufige Fragen zur Process Explorer Anleitung

Fazit: Mit Process Explorer erst die Ursache verstehen, dann handeln

Der kostenlose Process Explorer kann Dir dabei helfen, unklare laufende Windows Prozesse zu untersuchen und unzählige Details herauszufinden. Gerade bei der Fehlersuche leistet dieses Tool erstaunliches und sollte zur Grundausstattung eines jeden Administrators gehören.