Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Wenn ihr System hohe CPU-Auslastung oder Leistungsprobleme im Zusammenhang mit dem Microsoft Defender Antivirus (ausführbarer Antischadsoftwaredienst, MsMpEng.exe, Microsoft Defender Antivirus) aufweist.
Als Administrator können Sie diese Probleme auch selbst beheben.
Zunächst sollten Sie überprüfen, ob das Problem durch andere Software verursacht wird. Lesen Sie Erkundigen Sie sich beim Anbieter nach bekannten Problemen mit Antivirus-Ausschlüssen.
Voraussetzungen
Unterstützte Betriebssysteme
- Windows
- Windows Server
Häufige Gründe für eine höhere CPU-Auslastung durch Microsoft Defender Antivirus
| Grund | Lösung |
|---|---|
1. Nicht signierte Binärdateien (.exe, .dllusw.) Immer wenn eine Binärdatei (z. B. .exe, .dll usw.) gestartet wird und sie nicht digital signiert ist, startet Microsoft Defender Antivirus eine Echtzeitschutzüberprüfung – oder dies geschieht, wenn Sie eine geplante Überprüfung und/oder eine On-Demand-Überprüfung ausführen. |
Sie sollten erwägen, die Binärdateien mit einer internen PKI zu signieren. Und/oder sich an den Anbieter zu melden, damit er die Binärdatei signieren kann. Und das Zertifikat zu Indikatoren – Zertifikat – Zulassen hinzufügen Es wird empfohlen, dass Softwareanbieter die verschiedenen Richtlinien in Partnerschaft mit der Branche befolgen, um falsch positive Ergebnisse zu minimieren. Der Softwarehersteller oder Softwareentwickler kann die Anwendung, den Dienst oder das Skript im Microsoft Security Intelligence-Portal übermitteln. Als Umgehungslösung gehen Sie wie folgt vor: 1. (Bevorzugt) Verwenden Sie für EXE- und DLL-Dateien Indikatoren – Dateihash – Zulassen 2. (Alternative) Hinzufügen von Antivirusausschlüssen (Prozess+Pfad). |
| 2. Verwendung von HTA, CHMs und verschiedenen Dateien als Datenbanken. Wenn Microsoft Defender Antivirus komplexe Dateiformate extrahieren und/oder scannen muss, kann eine höhere CPU-Auslastung auftreten. |
Erwägen Sie den Wechsel zu tatsächlichen Datenbanken, wenn Sie Informationen speichern und abfragen müssen. Fügen Sie als Problemumgehung Antivirenausschlüsse (Prozess+Pfad) hinzu. |
| 3. Verwenden von Obfuskationen für Skripts. Wenn Sie Skripts Microsoft Defender Antivirus verschleiern, um zu überprüfen, ob das Skript schädliche Nutzlasten enthält, kann es beim Scannen eine größere CPU-Auslastung verwenden. |
Verwenden Sie die Skriptverschleierung nur bei Bedarf. Fügen Sie als Problemumgehung Antivirenausschlüsse (Prozess+Pfad) hinzu. |
| 4. Lassen Sie den Microsoft Defender Antivirus-Cache vor dem Versiegeln des Images nicht beenden. | Wenn Sie ein VDI-Image wie für ein nicht persistentes Image erstellen, stellen Sie sicher, dass die Cachewartung abgeschlossen ist, bevor das Image versiegelt wird. Weitere Informationen finden Sie unter Konfigurieren Microsoft Defender Antivirus auf einer Remotedesktop- oder virtuellen Desktopinfrastrukturumgebung. |
| 5. Falsch geschriebene Ausschlüsse. |
Verwenden Sie MpCmdRun.exe -CheckExclusion -Path <PathAndFile or Path> , um pfadbasierte Ausschlüsse zu überprüfen. Weitere Informationen finden Sie unter Überprüfen, ob eine Datei oder ein Ordner mithilfe von MpCmdRun ausgeschlossen wird. |
| 6. Wenn ein Pfadausschluss hinzugefügt wird, gilt er für Scan-Abläufe. Die Verhaltensüberwachung (Behavior Monitoring, BM) und die Netzwerk-Echtzeitüberprüfung (Network Real-Time Inspection, NRI) können weiterhin Leistungsprobleme verursachen. |
Führen Sie als Problemumgehung die folgenden Schritte aus: 1. (Bevorzugt) Für .exe und DLLs verwenden Sie Indikatoren – Dateihash – zulassen oder Indikatoren – Zertifikat – zulassen 2. (Alternative) Hinzufügen von Antivirusausschlüssen (Prozess+Pfad). |
| 7. Dateihashberechnung. Wenn Sie die Dateihashberechnung aktivieren, die für Dateiindikatoren verwendet wird, entsteht mehr Leistungsaufwand. Das Kopieren großer Dateien aus einer Netzwerkfreigabe auf Ihr lokales Gerät, insbesondere über eine VPN-Verbindung, kann sich beispielsweise auf die Geräteleistung auswirken. |
Hier müssen Sie und Ihr Führungsteam entscheiden, dass sie mehr Sicherheit oder weniger CPU-Auslastung haben. Eine mögliche Lösung besteht darin, das Feature Dateihashberechnung zu deaktivieren. Wechseln Sie zu Computerkonfiguration>Administrative Vorlagen>Windows-Komponenten>Microsoft Defender Antivirus>MpEngine, und aktivieren Sie dann Dateihashberechnungsfeatures. Hinweis: Zum Aktivieren der Funktion Indikatoren – Dateihash muss dieses Feature aktiviert werden. |
So können Sie ermitteln, welche Komponente möglicherweise zu einer höheren CPU-Auslastung beiträgt
| Komponente | Lösung |
|---|---|
| RTP-Überprüfung (Echtzeitschutz) | Sie können den Problembehandlungsmodus verwenden, um den Manipulationsschutz zu deaktivieren. Sobald der Manipulationsschutz deaktiviert ist, können Sie den "Echtzeitschutz" vorübergehend deaktivieren, um ihn auszuschließen. Weitere Informationen finden Sie im vorherigen Abschnitt Häufige Gründe für eine höhere CPU-Auslastung durch Microsoft Defender Antivirus. |
| Geplantes Scannen | Überprüfen Sie Ihre Standardeinstellungen für geplante Scans Allgemeine Einstellungen für geplante Scans. – Konfigurieren einer niedrigen CPU-Priorität für geplante Überprüfungen (Verwenden Sie eine niedrige CPU-Priorität für geplante Überprüfungen). Die Threadpriorität in Windows für normale Scans weist zwei Werte auf: 8 (niedriger) und 9 (höher). Wenn Sie dies auf enabledfestlegen, verringern Sie die Priorität des geplanten Überprüfungsthreads von 9 auf 8, wodurch andere Anwendungsthreads mit einer höheren Priorität ausgeführt werden können und somit mehr CPU-Zeit als Microsoft Defender Antivirus erhalten. – Geben Sie den maximalen Prozentsatz der CPU-Auslastung während einer Überprüfung an (CPU-Auslastungslimit pro Scan). 50 ist die Standardeinstellung; Sie können sie auf 20 oder 30 senken. Wenn Sie über ein Änderungssteuerungsfenster verfügen, führt das Ändern der CPU-Menge, die verwendet werden kann, dazu, dass die Überprüfung länger dauert. - Starten Sie die geplante Überprüfung nur, wenn der Computer eingeschaltet, aber nicht in Verwendung ist, indem Sie ScanOnlyIfIdle auf Not configured festlegen (standardmäßig aktiviert). Es erfordert, dass sich der Computer im Leerlauf befindet, was bedeutet, dass die CPU-Auslastung des Geräts insgesamt weniger als 80 % betragen muss. Einstellungen für die tägliche Schnellüberprüfung – Specify the interval to run quick scans per day auf Not configured festlegen (Wie viele Stunden vergehen, bevor der nächste Schnellscan ausgeführt wird – 0 bis 24 Stunden)– Setzen Sie Specify the time for a daily quick scan (Run daily quick scan at) auf 12 PM. Einstellungen für einen wöchentlichen geplanten Scan (Schnell- oder vollständiger Scan) - Geben Sie den Scan-Typ an, der für einen geplanten Scan verwendet werden soll (setzen Sie Scan type den Scan-Typ auf Not configured). - Legen Sie die Uhrzeit fest, zu der ein geplanter Scan ausgeführt werden soll (Setzen Sie Day of week to run scheduled scan auf Not configured). – Geben Sie den Wochentag für eine geplante Überprüfung an (auf Time of day to run a scheduled scan to Not configuredfestlegen). |
| Nach einem Sicherheitsintelligenzupdate scannen. | Standardmäßig führt Microsoft Defender Antivirus nach einem Update der Sicherheitsinformationen Scans durch, um optimalen Schutz zu gewährleisten. Wenn geplante Überprüfungen aktiviert sind, denken Sie möglicherweise, dass es Überprüfungen gibt, die außerhalb des Zeitplans ausgeführt werden. Hier müssen Sie und Ihr Führungsteam entscheiden, dass sie mehr Sicherheit oder weniger CPU-Auslastung haben. Zur Problemumgehung wechseln Sie in der Gruppenrichtlinie (oder in einem anderen Verwaltungstool wie MDM) zu Computerkonfiguration>Administrative Vorlagen>Microsoft Defender Antivirus>Sicherheitsintelligenz-Updates und legen Überprüfung nach Sicherheitsintelligenz-Update aktivieren auf Disabled fest. |
| Konflikte mit anderer Sicherheitssoftware | Wenn Sie über Nicht-Microsoft-Sicherheitssoftware verfügen, z. B. Antivirensoftware, EDR, DLP, Endpunktberechtigungsverwaltung, VPN usw., fügen Sie diese Software dem Microsoft Defender Antivirusausschlüssen (Pfad + Prozesse) hinzu und umgekehrt. Eine Liste der Microsoft Defender Antivirus-Binärdateien finden Sie unter Konfigurieren Ihrer Netzwerkumgebung zum Sicherstellen der Konnektivität mit dem Defender für Endpunkt-Dienst. |
| Überprüfen einer großen Anzahl von Dateien oder Ordnern | Wenn sich in Ihrem Benutzerprofil (Desktop, Downloads, Dokumente usw.) eine große Datei wie etwa eine .iso, .vhdx usw. befindet und dieses Profil auf Netzwerkfreigaben wie Offlinedateien (CSC) oder OneDrive (oder ähnliche Produkte) umgeleitet wird, kann die Ausführung von Überprüfungen länger dauern. Dies liegt daran, dass Sie ein Netzwerk scannen, in dem im Vergleich zu lokal auf einem Gerät gespeicherten Dateien eine höhere Latenz besteht. Wenn Sie die .iso/.vhd/.vhdx usw. nicht in Ihrem Profil benötigen, verschieben Sie diese in einen anderen Ordner, der sich nicht auf einer Netzwerkfreigabe befindet (zugeordnetes Laufwerk, UNC-Freigabe, SMB-Freigabe). |
Was eine höhere CPU-Auslastung in Microsoft Defender Antivirus auslöst und verursacht
Nachdem die Proa\ctive-Schritte abgeschlossen sind, können Sie ermitteln, was ausgelöst und die höhere CPU-Auslastung verursacht:
| # | Tools zum Eingrenzen der Auslöser für die hohe CPU-Auslastung | Kommentare |
|---|---|---|
| 1 | Sammeln von Microsoft Defender Antivirus-Diagnosedaten | Microsoft Defender Antivirus-Diagnosedaten, die Sie bei der Behandlung eines Problems mit Microsoft Defender Antivirus einschließen möchten. |
| 2 | Leistungsanalyse für Microsoft Defender Antivirus | Leistungsspezifische Probleme im Zusammenhang mit Microsoft Defender Antivirus finden Sie unter Leistungsanalyse für Microsoft Defender Antivirus. Auf diese Weise können Sie die Datensammlung ausführen und die Daten analysieren, wo sie leicht zu verstehen sind. Hinweis: Stellen Sie sicher, dass das Problem beim Sammeln dieser Daten reproduziert wird. |
| 3 | Behandeln von Microsoft Defender Antivirus-Leistungsproblemen mit dem Prozessmonitor | Wenn das Microsoft Defender Antivirus-Leistungsanalyse aus irgendeinem Grund nicht die Details bereitstellt, die Sie benötigen, um einzugrenzen, was die hohe CPU-Auslastung auslöst, können Sie Prozessmonitor (ProcMon) verwenden. Tipp: Sie können 5-10 Minuten sammeln. Hinweis: Stellen Sie sicher, dass das Problem beim Sammeln dieser Daten reproduziert wird. |
| 4 | Behandeln von Microsoft Defender Antivirus-Leistungsproblemen mit WPRUI | Für eine erweiterte Problembehandlung können Sie windows Performance Recorder UI (WPRUI) oder Windows Performance Recorder (WPR) verwenden. Beachten Sie, dass sie aufgrund der Ausführlichkeit dieser Ablaufverfolgung auf maximal 3 bis 5 Minuten beschränkt werden sollte. Stellen Sie sicher, dass das Problem aktiv auftritt, wenn Sie diese Daten sammeln. |
Erkundigen Sie sich beim Anbieter nach bekannten Problemen mit Antivirenprodukten.
Wenn Sie die Software, die sich auf die Systemleistung auswirkt, leicht identifizieren können, wechseln Sie zum Wissensdatenbank oder Supportcenter des Softwareherstellers. Überprüfen Sie, ob bekannte Probleme mit Antivirenprodukten vorliegen. Bei Bedarf können Sie ein Supportticket mit ihnen öffnen und sie bitten, eins zu veröffentlichen.
Es wird empfohlen, dass Softwareanbieter die verschiedenen Richtlinien in Partnerschaft mit der Branche befolgen, um falsch positive Ergebnisse zu minimieren. Der Anbieter kann seine Software über das Microsoft Security Intelligence-Portal übermitteln.