Öffnet sich Windows PowerShell direkt nach der Anmeldung, wird sie normalerweise von einem Autostart-Eintrag, einer geplanten Aufgabe, einem Skript oder Windows Terminal aufgerufen. Schließe das Fenster nicht nur, sondern ermittle zuerst den auslösenden Eintrag. Beginne bei den Autostart-Apps, prüfe danach die Autostartordner und untersuche erst anschließend die Aufgabenplanung. Ein unbekannter, verschleierter oder aus einem temporären Ordner gestarteter Befehl sollte vor dem Entfernen mit Windows-Sicherheit untersucht werden.
PowerShell selbst ist dabei nicht automatisch die Ursache und auch kein Beleg für Schadsoftware. Sie dient häufig nur als ausführendes Programm. Für die Bewertung sind der vollständige Befehl, der Pfad eines aufgerufenen Skripts und der Zeitpunkt des Starts wichtiger als das sichtbare Fenster.
Das Erscheinungsbild grenzt den Auslöser ein
Beobachte bei der nächsten Anmeldung, ob ein Fenster geöffnet bleibt, nur kurz aufblitzt oder eine Fehlermeldung zeigt. Diese Unterschiede führen zu verschiedenen Prüfwegen:
- Das Fenster bleibt offen: Häufig fehlt einem Skript ein Abschlussbefehl, eine Aufgabe wurde für die interaktive Ausführung eingerichtet oder Windows Terminal startet mit einem PowerShell-Profil.
- Das Fenster blitzt kurz auf: Wahrscheinlich wird ein Befehl ausgeführt und sofort beendet. Solche Starts stammen oft aus einer geplanten Aufgabe, einem Updater oder einem Autostart-Skript.
- Eine Fehlermeldung nennt eine Datei: Notiere den vollständigen Pfad. Möglicherweise verweist ein übrig gebliebener Autostart auf ein bereits entferntes Programm oder Skript.
- Der Start wiederholt sich später: Dann ist ein reiner Anmelde-Autostart weniger wahrscheinlich. Prüfe in der Aufgabenplanung auch zeit- und ereignisgesteuerte Aufgaben.
Achte außerdem auf den Prozessnamen. powershell.exe gehört zur in Windows enthaltenen Windows PowerShell. pwsh.exe bezeichnet gewöhnlich die separat installierte, neuere PowerShell. Diese Unterscheidung hilft bei der Suche nach dem passenden Programmeintrag, sagt allein aber nichts über die Vertrauenswürdigkeit des ausgeführten Befehls aus.
Autostart-Apps als erste und sicherste Prüfung
Öffne unter Windows 11 oder Windows 10 den Task-Manager und wechsle zu Autostart-Apps. Alternativ findest du die registrierten Einträge in den Windows-Einstellungen unter Apps und Autostart. Suche nicht nur nach PowerShell, sondern auch nach kürzlich installierten Hilfsprogrammen, Update-Komponenten, Terminal-Anwendungen und Einträgen ohne klaren Herausgeber.
- Sortiere die Liste nach Status oder Name und notiere verdächtige Einträge.
- Deaktiviere zunächst nur einen wahrscheinlichen Auslöser. Löschen ist für diesen Test nicht nötig.
- Melde dich von Windows ab und wieder an oder starte den PC neu.
- Bleibt das PowerShell-Fenster aus, aktiviere den Eintrag einmal erneut, sofern eine sichere Gegenprobe möglich ist. Erscheint das Fenster wieder, ist der Zusammenhang sehr wahrscheinlich.
Ein deaktivierter Autostart entfernt das zugehörige Programm nicht. Funktioniert dessen Hauptanwendung weiter, kannst du den Eintrag deaktiviert lassen. Handelt es sich um Sicherheitssoftware, Geräteverwaltung oder ein Werkzeug deines Arbeitgebers, ändere den Startstatus nicht ohne Rücksprache mit der zuständigen Administration.
Fehlt ein passender Eintrag, ist das kein Widerspruch. Aufgaben, Skriptverknüpfungen und einige systemweite Startmechanismen erscheinen nicht in dieser Liste.
Verknüpfungen in beiden Autostartordnern kontrollieren
Windows besitzt einen persönlichen Autostartordner und einen gemeinsamen Ordner für alle Benutzer. Öffne mit Windows-Taste + R zuerst den persönlichen Ordner und gib Folgendes ein:
shell:startupPrüfe dort Verknüpfungen, Skripte und unbekannte Dateien. Über die Eigenschaften einer Verknüpfung kannst du im Feld Ziel erkennen, ob sie powershell.exe, pwsh.exe oder eine Skriptdatei aufruft. Typische PowerShell-Skripte besitzen die Dateiendung .ps1.
Öffne danach über Windows-Taste + R den gemeinsamen Autostartordner:
shell:common startupVerschiebe einen verdächtigen Eintrag für den Test in einen neu angelegten Ordner außerhalb des Autostarts. Das ist besser als sofortiges Löschen, weil du die Änderung leicht rückgängig machen kannst. Verschiebe keine Datei, deren Aufgabe du nicht einschätzen kannst, wenn der Computer verwaltet wird oder geschäftskritische Software ausführt.
Windows Terminal kann PowerShell sichtbar öffnen
Erscheint nach der Anmeldung ein Terminalfenster mit einem PowerShell-Tab, kann Windows Terminal selbst für den Start verantwortlich sein. Öffne die Einstellungen von Windows Terminal und suche im Bereich für den Start nach der Option, Terminal beim Computerstart auszuführen. Die genaue Bezeichnung kann sich mit der installierten Terminal-Version ändern.
Deaktiviere diese Startoption und melde dich erneut an. Bleibt das Fenster weg, war nicht PowerShell als eigener Autostart registriert; Windows Terminal hat lediglich das als Standardprofil konfigurierte PowerShell-Profil geöffnet. Möchtest du Terminal automatisch starten, aber ein anderes Profil sehen, kannst du stattdessen das Standardprofil in den Terminal-Einstellungen ändern.
Öffnet sich nur ein schmales blaues Konsolenfenster ohne Terminal-Oberfläche, ist dieser Zweig weniger wahrscheinlich. Fahre dann mit der Aufgabenplanung fort.
In der Aufgabenplanung nach dem vollständigen Startbefehl suchen
Geplante Aufgaben sind eine häufige Erklärung, wenn PowerShell nicht unter den Autostart-Apps auftaucht. Öffne über die Windows-Suche die Aufgabenplanung und wähle links die Aufgabenplanungsbibliothek. Sieh auch in deren Unterordnern nach. Besonders relevant sind Aufgaben, deren Trigger Bei Anmeldung oder Beim Start lautet.
Markiere eine mögliche Aufgabe und kontrolliere unten die Registerkarten Trigger und Aktionen. Unter Aktionen kann als Programm powershell.exe oder pwsh.exe stehen. Entscheidender sind jedoch die Argumente und der Pfad hinter Parametern wie -File oder -Command.
- Ein nachvollziehbarer Herstellername und ein Skript im Installationsordner einer bekannten Anwendung sprechen eher für einen regulären Start.
- Ein nicht mehr vorhandener Skriptpfad erklärt häufig eine Fehlermeldung nach der Anmeldung.
- Ein Aufruf aus
AppData,Tempoder einem Downloadordner erfordert eine genauere Prüfung, ist aber nicht automatisch schädlich. - Sehr lange, kaum lesbare, kodierte oder Dateien herunterladende Befehle sind ein Warnsignal. Führe sie nicht probeweise in einem PowerShell-Fenster aus.
Notiere Aufgabenname, Trigger, Programm, Argumente und das Feld Starten in. Deaktiviere eine verdächtige Aufgabe zunächst über das Kontextmenü, statt sie zu löschen. Nach einer erneuten Anmeldung zeigt sich, ob das Fenster verschwunden ist. Benötigt die zugehörige Anwendung die Aufgabe für Updates oder Synchronisierung, kannst du sie auf demselben Weg wieder aktivieren.
Lösche keine Aufgaben allein aufgrund eines unbekannten Namens und entferne Microsoft-Aufgaben nicht pauschal. Manche legitimen Programme verwenden PowerShell für Wartungs- oder Verwaltungsabläufe. Bei einem Firmen-PC können solche Aufgaben außerdem durch Richtlinien oder eine Verwaltungssoftware erneut eingerichtet werden.
Systemweite Startstellen mit Autoruns sichtbar machen
Wenn Autostartordner, Terminal und Aufgabenplanung keinen Treffer liefern, eignet sich Autoruns for Windows aus der Microsoft-Sysinternals-Sammlung zur erweiterten Diagnose. Das Werkzeug bündelt zahlreiche Startstellen, ohne dass du jeden Registry-Pfad einzeln bearbeiten musst.
Starte Autoruns mit Administratorrechten und lasse die Erfassung vollständig abschließen. Suche anschließend nach powershell.exe, pwsh.exe und .ps1. Interessant sind besonders die Bereiche für Anmeldung und geplante Aufgaben. Prüfe bei einem Treffer Herausgeber, Image-Pfad und den vollständigen Startbefehl.
Entferne zunächst nur das Häkchen am verdächtigen Eintrag. Damit wird er deaktiviert und kann bei Bedarf wieder eingeschaltet werden. Ein Eintrag mit dem Hinweis auf eine fehlende Datei kann ein Überbleibsel deinstallierter Software sein. Trotzdem sollte vor dem Entfernen geklärt werden, zu welchem Programm er gehört.
Die klassischen benutzer- und computerbezogenen Startwerte liegen unter anderem in diesen Registry-Zweigen:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnceEine direkte Bearbeitung im Registrierungs-Editor ist für die reine Fehlersuche meist nicht erforderlich. Falls du dort dennoch einen Wert ändern willst, exportiere vorher den betroffenen Schlüssel. Lösche niemals den gesamten Schlüssel; relevant wäre ausschließlich der eindeutig identifizierte Wert, der den unerwünschten Befehl startet.
Unbekannte Befehle vor dem Entfernen sicher prüfen
Ein echtes PowerShell-Programm im Windows-Systemordner kann sowohl harmlose als auch unerwünschte Befehle ausführen. Die digitale Signatur der ausführbaren Datei beantwortet daher nicht die wichtigere Frage, welches Skript oder Kommando gestartet wurde.
Öffne bei einem unbekannten Eintrag nicht die genannte Skriptdatei per Doppelklick und kopiere den Befehl nicht in ein Terminal. Aktualisiere in Windows-Sicherheit zunächst die Schutzinformationen. Öffne danach Viren- & Bedrohungsschutz, rufe die Scanoptionen auf und starte eine vollständige Überprüfung. Bei einem deutlichen Verdacht kann zusätzlich die Microsoft Defender Offlineüberprüfung sinnvoll sein; sie startet den Computer neu, weshalb offene Dateien vorher gespeichert werden müssen.
Ein Warnsignal liegt besonders dann vor, wenn mehrere Merkmale zusammentreffen: Der Eintrag entstand ohne erkennbare Installation, verwendet einen zufällig wirkenden Dateinamen, liegt in einem temporären Verzeichnis, enthält verschleierte Argumente oder erscheint nach dem Deaktivieren erneut. Trenne den PC bei beobachteter verdächtiger Netzwerkaktivität vorübergehend vom Netzwerk und ändere Zugangsdaten von einem anderen, vertrauenswürdigen Gerät, falls ein bestätigter Fund auf einen möglichen Kontozugriff hindeutet.
Findet Windows-Sicherheit nichts, ist das kein Beweis für die Harmlosigkeit des Eintrags. Der vollständige Pfad, die Eigenschaften der Datei und die Zuordnung zu einer installierten Anwendung bleiben wichtige Prüfpunkte.
Wenn sich der Auslöser weiterhin nicht zeigt
Bei einem nur kurz sichtbaren Fenster kann die zeitliche Zuordnung schwierig sein. Öffne in der Aufgabenplanung den Verlauf der verdächtigen Aufgabe, sofern die Protokollierung verfügbar ist. Dort lässt sich erkennen, ob sie zur Uhrzeit der Anmeldung ausgelöst wurde. Der Verlauf sollte nur zur Diagnose aktiviert bleiben, wenn du ihn sonst nicht benötigst, da zusätzliche Ereignisse protokolliert werden.
Eine weitere Eingrenzung ist ein sauberer Neustart mit deaktivierten Drittanbieterdiensten und Autostarts. Er eignet sich jedoch erst nach den gezielten Prüfungen, weil dabei vorübergehend Funktionen von Programmen ausfallen können. Blendet der saubere Neustart das Fenster aus, aktiviere die zuvor abgeschalteten Komponenten in kleinen Gruppen wieder. Sobald PowerShell erneut erscheint, liegt der Auslöser in der zuletzt aktivierten Gruppe.
Auf verwalteten Arbeits- oder Schulcomputern solltest du an dieser Stelle abbrechen und der Administration den Zeitpunkt, einen Screenshot sowie den gefundenen Aufgaben- oder Skriptpfad mitteilen. Richtlinien, Anmeldeskripte und Managementsoftware sind lokal nicht immer dauerhaft deaktivierbar. Eigenmächtige Änderungen können die Geräteverwaltung oder Sicherheitsvorgaben beeinträchtigen.
Die passende Maßnahme nach dem Prüfergebnis
- Ein Autostart-Programm ist eindeutig verantwortlich: Lasse seinen Start deaktiviert oder ändere die Autostart-Option innerhalb des betreffenden Programms.
- Windows Terminal öffnet das PowerShell-Profil: Schalte die Terminal-Startoption aus oder wähle ein anderes Standardprofil.
- Eine bekannte geplante Aufgabe startet ein unnötiges Skript: Deaktiviere die Aufgabe und prüfe, ob die zugehörige Anwendung weiterhin ordnungsgemäß arbeitet.
- Der Eintrag verweist auf eine entfernte Anwendung: Deaktiviere ihn, teste die Anmeldung und entferne ihn erst nach eindeutiger Zuordnung dauerhaft.
- Befehl oder Dateipfad wirken unbekannt und verdächtig: Führe zuerst die Sicherheitsprüfung durch und bewahre Aufgabenname sowie Pfad für eine weitere Analyse auf.
- Es handelt sich um einen verwalteten PC: Dokumentiere den Eintrag, ändere ihn nicht dauerhaft und wende dich an die zuständige IT.
Die Reparatur ist erfolgreich, wenn bei zwei aufeinanderfolgenden Anmeldungen kein unerwünschtes PowerShell-Fenster mehr erscheint und die zum Eintrag gehörende Anwendung weiterhin funktioniert. Musstest du mehrere Startstellen gleichzeitig ändern, aktiviere sie einzeln wieder. Nur so bleibt erkennbar, welche Maßnahme tatsächlich für das automatische Öffnen verantwortlich war.
