Wird ein Windows-PC direkt nach einem Virenscan deutlich langsamer, arbeitet häufig noch die Sicherheitssoftware: Sie bewertet verdächtige Dateien, verschiebt Funde in die Quarantäne oder prüft Archive und neu gestartete Prozesse. Öffne zuerst den Task-Manager und kontrolliere, welcher Prozess Prozessor, Arbeitsspeicher oder Datenträger belastet. Bleibt die Auslastung auch nach abgeschlossenem Scan und einem Neustart hoch, kommen ein festhängender Sicherheitsprozess, zwei gleichzeitig aktive Virenscanner, ein Datenträgerproblem oder eine weiterhin aktive Schadsoftware infrage.
Beende den Virenscanner nicht vorschnell und lösche Quarantäneinhalte nicht ungeprüft. Entscheidend ist, ob nur eine zeitlich begrenzte Nachbearbeitung läuft oder Windows dauerhaft ausgebremst wird. Die folgende Prüfreihenfolge trennt diese Fälle voneinander, ohne den Schutz des PCs unnötig zu schwächen.
Im Task-Manager erkennen, was den PC tatsächlich auslastet
Der zeitliche Zusammenhang mit dem Virenscan ist ein wichtiger Hinweis, beweist aber noch nicht, dass der Scanner selbst die Verzögerung verursacht. Mit dem Task-Manager lässt sich unterscheiden, ob der Prozessor, der Arbeitsspeicher oder der Datenträger zum Engpass geworden ist.
- Öffne den Task-Manager mit
Strg + Umschalt + Esc. - Falls nur eine kleine Ansicht erscheint, erweitere sie über Mehr Details.
- Wechsle zu Prozesse und sortiere nacheinander nach CPU, Arbeitsspeicher und Datenträger.
- Beobachte die Werte für einige Minuten, ohne gleichzeitig Programme zu starten oder Dateien zu kopieren.
- Notiere den Namen des Prozesses, der dauerhaft oben steht, sowie die betroffene Ressource.
Bei Microsoft Defender kann während einer Prüfung oder Nachbearbeitung der Prozess Antimalware Service Executable mit dem technischen Prozessnamen MsMpEng.exe auffallen. Bei Sicherheitsprogrammen anderer Hersteller steht dort normalerweise ein Prozess des jeweiligen Produkts. Eine kurzzeitig hohe Auslastung ist während einer Prüfung plausibel. Verdächtig wird der Zustand, wenn der Scan in der Programmoberfläche als beendet gilt, die Last über längere Zeit nicht sinkt und sich auch nach einem normalen Neustart unverändert fortsetzt.
Die Art der Auslastung grenzt die Ursache weiter ein:
- Hohe CPU-Auslastung: Der Scanner analysiert wahrscheinlich Dateien, entpackt Archive oder bewertet erkannte Objekte.
- Datenträger dauerhaft nahe Vollauslastung: Viele kleine Dateizugriffe, eine langsame Festplatte oder ein Datenträgerfehler können die Reaktion des gesamten Systems verzögern.
- Arbeitsspeicher fast vollständig belegt: Scanner, Browser und andere Programme konkurrieren um RAM; Windows lagert dann häufiger Daten auf den Datenträger aus.
- Netzwerk stark ausgelastet: Ein Sicherheitsprogramm lädt möglicherweise Signaturen oder übermittelt eine Datei zur Analyse. Unbekannte Prozesse mit auffälligem Datenverkehr benötigen dagegen eine gesonderte Prüfung.
Nachprüfung, Quarantäne und Bereinigung laufen teilweise weiter
Das Ende des sichtbaren Fortschrittsbalkens bedeutet nicht bei jedem Sicherheitsprogramm, dass sämtliche Arbeiten abgeschlossen sind. Nach einem Fund können noch Klassifizierung, Quarantäne, Reparaturversuche oder Prüfungen abhängiger Dateien folgen. Besonders große Archive, Softwarepakete, virtuelle Datenträger und Verzeichnisse mit sehr vielen kleinen Dateien verlängern solche Vorgänge.
Öffne bei Microsoft Defender unter Windows-Sicherheit den Bereich Viren- & Bedrohungsschutz und anschließend den Schutzverlauf. Dort erkennst du, ob eine Bedrohung blockiert, unter Quarantäne gestellt oder noch nicht abschließend behandelt wurde. Die genaue Darstellung kann sich je nach Windows-Version unterscheiden. Bei einem anderen Virenscanner sind die Bereiche meist als Verlauf, Ereignisse, Berichte oder Quarantäne bezeichnet.
Fordert das Sicherheitsprogramm eine Entscheidung oder einen Neustart an, sollte dieser Status zuerst geklärt werden. Wähle bei einer unbekannten Datei nicht ohne Prüfung Zulassen oder Wiederherstellen. Ein Fund in einem Browser-Download, einem E-Mail-Anhang oder einem temporären Ordner ist anders zu bewerten als eine möglicherweise fälschlich erkannte Datei aus einer vertrauenswürdigen und überprüfbaren Installation.
Ein Neustart ist sinnvoll, nachdem der Scan beendet und eine angebotene Bereinigung bestätigt wurde. Dadurch können gesperrte Dateien verarbeitet und zurückgebliebene Scannerprozesse sauber neu geladen werden. Bleibt der PC danach im Leerlauf langsam, ist der nächste Diagnosezweig wichtiger als wiederholtes Neustarten.
Wenn der Sicherheitsprozess nach dem Neustart weiter viel Leistung benötigt
Eine anhaltend hohe Last kann auf eine wiederholte Prüfung derselben Datei, eine beschädigte Scannerkomponente oder einen Konflikt mit anderer Sicherheitssoftware hindeuten. Prüfe zuerst die leicht reversiblen Ursachen und ändere nicht mehrere Einstellungen gleichzeitig.
Virenschutz und Signaturen vollständig aktualisieren
Öffne die Update-Funktion des installierten Sicherheitsprogramms und suche nach Aktualisierungen. Bei Microsoft Defender befindet sich die Prüfung auf Schutzupdates im Bereich Viren- & Bedrohungsschutz bei den Updates für den Viren- und Bedrohungsschutz. Danach sollte der PC einmal neu gestartet und die Auslastung erneut im Leerlauf beobachtet werden.
Ein aktuelles Definitionsupdate kann Fehlklassifizierungen oder wiederholte Analysen beheben. Es ist jedoch keine Garantie, dass jede hohe Auslastung verschwindet. Bleibt immer dieselbe Datei oder dasselbe Verzeichnis im Scanprotokoll auffällig, darf es nicht allein aus Leistungsgründen pauschal ausgeschlossen werden.
Große Archive und ungewöhnliche Dateisammlungen eingrenzen
Virenscanner benötigen bei komprimierten Archiven häufig mehr Rechenzeit, weil deren Inhalt untersucht werden muss. Auch Entwicklungsordner, Mailarchive, Sicherungsbestände und Verzeichnisse mit sehr vielen kleinen Dateien können eine Prüfung verlängern. Ein Hinweis darauf ist eine hohe Scannerlast, die nur während des Zugriffs auf einen bestimmten Bestand entsteht und nach dessen Verarbeitung wieder sinkt.
Kontrolliere den Scanbericht, sofern das Programm dort zuletzt geprüfte oder problematische Objekte nennt. Verschiebe verdächtige Dateien nicht unüberlegt und öffne sie nicht zur Gegenprobe. Ein Ausschluss ist nur vertretbar, wenn Quelle, Inhalt und Integrität des betreffenden Bestands zuverlässig feststehen. Systemordner, Download-Verzeichnisse oder komplette Laufwerke sollten nicht von der Echtzeitprüfung ausgenommen werden.
Reparaturfunktion des installierten Produkts verwenden
Bei einem Virenscanner eines anderen Herstellers kann eine integrierte Reparatur oder eine Reparatur über die installierten Apps helfen, wenn dessen Dienst nach jedem Systemstart hängen bleibt. Ob diese Funktion vorhanden ist und wie sie heißt, hängt vom Produkt ab. Nutze dafür ausschließlich die reguläre Programmoberfläche beziehungsweise den Eintrag der installierten Anwendung. Eine sofortige manuelle Löschung von Diensten, Treibern oder Programmordnern kann den Netzwerkzugriff und andere Schutzkomponenten beschädigen.
Vor einer Neuinstallation sollten Lizenzdaten und erforderliche Kontozugänge verfügbar sein. Verwende bei einer notwendigen Entfernung das dafür vorgesehene Verfahren des Herstellers. Erst anschließend lässt sich beurteilen, ob der betreffende Scanner tatsächlich die dauerhafte Last verursacht hat.
Zwei Virenscanner können sich gegenseitig prüfen
Zwei Sicherheitsprogramme mit gleichzeitig aktivem Echtzeitschutz können dieselben Dateioperationen überwachen. Prüft Scanner A eine Datei und legt temporäre Daten an, kann Scanner B wiederum diese Aktivität untersuchen. Das führt nicht zwangsläufig zu einem sichtbaren Fehler, kann CPU- und Datenträgerlast aber erheblich erhöhen.
Öffne unter Windows 11 Einstellungen > Apps > Installierte Apps. Unter Windows 10 heißt der Bereich üblicherweise Apps > Apps & Features. Suche nach vollständig installierten Antiviren-, Internet-Security- oder Endpoint-Security-Paketen. Browser-Schutzmodule und reine On-Demand-Prüfer sind nicht automatisch zweite Echtzeitscanner; entscheidend ist, ob ein weiteres Produkt Dateien permanent überwacht.
Microsoft Defender verhält sich bei korrekt registrierter Sicherheitssoftware normalerweise anders als ohne fremden Virenschutz. Trotzdem können Reste eines zuvor entfernten Produkts, verbliebene Filtertreiber oder eine unvollständige Deinstallation Probleme verursachen. Typische Hinweise sind eine Verzögerung bei jedem Öffnen einer Datei, Fehlermeldungen des alten Produkts oder weiterhin geladene Dienste mit dessen Namen.
Deaktiviere nicht wahllos beide Schutzlösungen. Entscheide, welches vollständige Sicherheitspaket dauerhaft verwendet werden soll, und entferne das andere ordnungsgemäß. Auf einem verwalteten Firmen-PC darfst du die vorgegebene Sicherheitssoftware nicht eigenmächtig ändern; dort ist die IT-Verwaltung zuständig.
Der Virenscan kann ein Datenträgerproblem sichtbar machen
Ein vollständiger Scan liest große Teile des Dateibestands. Dadurch fällt eine langsame oder fehlerhafte Festplatte oft erstmals deutlich auf, obwohl der Virenscanner nicht die eigentliche Ursache ist. Besonders mechanische Festplatten reagieren während vieler kleiner Lesezugriffe langsamer als SSDs. Auch bei einer SSD können Dateisystemfehler, wenig freier Speicherplatz oder ein Hardwareproblem zu langen Wartezeiten führen.
Wechsle im Task-Manager zu Leistung und wähle den betroffenen Datenträger. Eine dauerhaft sehr hohe aktive Zeit bei geringem Datendurchsatz kann auf viele kleine Zugriffe oder Schwierigkeiten beim Lesen hindeuten. Der Wert allein beweist keinen Defekt. Aussagekräftiger sind zusätzliche Symptome wie wiederholte E/A-Fehler, ungewöhnlich lange Zugriffe auf einzelne Ordner, beschädigte Dateien oder ein Laufwerk, das zeitweise verschwindet.
Kontrolliere außerdem den freien Speicherplatz unter Dieser PC. Ist das Windows-Laufwerk nahezu voll, fehlen Reserven für temporäre Dateien, Updates und die Auslagerungsdatei. Entferne dann zunächst bekannte, entbehrliche Dateien über die Windows-Speicherverwaltung oder verschiebe eigene große Daten auf ein geeignetes Ziel. Lösche keine unbekannten Systemdateien und keine Quarantäneordner von Hand.
Bei Hinweisen auf einen Hardwarefehler hat die Datensicherung Vorrang vor weiteren Vollscans. Jeder zusätzliche intensive Lesevorgang belastet ein bereits instabiles Laufwerk. Sichere erreichbare persönliche Dateien auf ein anderes physisches Medium und prüfe anschließend den Laufwerkszustand mit dem Diagnosewerkzeug des Geräte- oder Laufwerksherstellers.
Ein Fund kann auf weiterhin aktive Schadsoftware hinweisen
Hat der Scan tatsächlich eine Bedrohung erkannt, darf eine anhaltende Verlangsamung nicht automatisch als Nebenwirkung des Virenscanners abgetan werden. Schadsoftware kann Prozesse nachladen, Dateien verändern, Rechenleistung beanspruchen oder den Sicherheitsdienst stören. Besonders ernst sind wiederkehrende Funde nach einer Bereinigung, deaktivierte Schutzfunktionen, unbekannte Autostart-Einträge und ungewöhnlicher Netzwerkverkehr.
Trenne den PC bei einem begründeten Verdacht vorübergehend vom Netzwerk, vor allem wenn vertrauliche Daten, Onlinebanking oder geschäftliche Zugänge betroffen sein könnten. Prüfe im Schutzverlauf den Fundnamen, den Speicherort und die ausgeführte Maßnahme. Starte nicht dieselbe verdächtige Datei erneut und stelle sie nicht aus der Quarantäne wieder her.
Microsoft Defender bietet abhängig von der verfügbaren Windows-Konfiguration verschiedene Scanarten. Eine Offlineüberprüfung startet den Rechner neu und untersucht das System außerhalb der normalen Windows-Sitzung. Das kann bei hartnäckigen Bedrohungen hilfreich sein, weil weniger laufende Prozesse die Untersuchung beeinflussen. Speichere vor dem Start offene Dokumente. Bei aktivierter Laufwerkverschlüsselung sollte außerdem der erforderliche Wiederherstellungsschlüssel verfügbar sein, bevor Diagnose- oder Wiederherstellungsmaßnahmen begonnen werden.
Werden nach einer Offline- oder Zweitprüfung erneut Bedrohungen gefunden, lassen sich Schutzfunktionen nicht mehr aktivieren oder tauchen unbekannte Konten auf, ist weitere Selbsthilfe riskant. Ändere wichtige Kennwörter von einem nachweislich sauberen Gerät und hole fachkundige Unterstützung. Bei einem stark kompromittierten System kann eine saubere Neuinstallation verlässlicher sein als wiederholtes Entfernen einzelner Funde.
Auch Windows-Dienste können nach dem Scan zeitgleich arbeiten
Nicht jede hohe Auslastung nach einer Sicherheitsprüfung gehört zum Virenschutz. Windows kann parallel Updates installieren, den Suchindex aktualisieren oder Wartungsaufgaben ausführen. Der Task-Manager zeigt dann einen anderen Prozess als den Scanner an. Der zeitliche Zusammenhang entsteht beispielsweise, weil der PC während des Scans längere Zeit eingeschaltet und unbenutzt war.
Sortiere deshalb nicht nur nach der höchsten momentanen Spitze. Beobachte, ob der belastende Prozess wechselt und ob die Auslastung im Leerlauf allmählich zurückgeht. Ein Windows-Update lässt sich in den Einstellungen unter Windows Update prüfen. Steht dort ein ausstehender Neustart, sollte dieser nach dem Speichern aller Arbeiten durchgeführt werden. Dieser Zweig ist erst relevant, wenn der Task-Manager nicht den Virenscanner als Hauptverbraucher ausweist.
Bei einem Laptop sollte die Diagnose am Netzteil erfolgen, sofern Netzteil und Anschluss einwandfrei sind. Ein Energiesparmodus kann die Prozessorleistung reduzieren und gleichzeitig laufende Hintergrundarbeiten stärker spürbar machen. Ändere jedoch nicht pauschal alle Energieoptionen: Für die Ursachenklärung genügt es, die Auslastung einmal unter stabiler Stromversorgung zu vergleichen.
Die sinnvolle Reihenfolge für eine sichere Eingrenzung
- Warte ab, bis der Virenscan in seiner Oberfläche eindeutig beendet ist, und kontrolliere offene Maßnahmen oder Funde.
- Ermittle im Task-Manager, welcher Prozess welche Ressource dauerhaft belastet.
- Bestätige eine angebotene Bereinigung und starte Windows anschließend regulär neu.
- Bleibt der Sicherheitsprozess auffällig, aktualisiere das Schutzprogramm und prüfe auf einen zweiten aktiven Echtzeitscanner.
- Liegt die Last hauptsächlich beim Datenträger, kontrolliere freien Speicherplatz und achte auf Anzeichen eines Laufwerksfehlers.
- Bei wiederkehrenden Funden oder manipulierten Schutzfunktionen behandle den PC als möglicherweise kompromittiert und führe eine weitergehende Prüfung durch.
