Behandeln von Microsoft Defender Antivirus-Leistungsproblemen mit dem Prozessmonitor

2025-03-21

Tipp

Sehen Sie sich zunächst die häufigsten Gründe für Leistungsprobleme an, z. B. eine hohe CPU-Auslastung. Weitere Informationen finden Sie unter Behandeln von Leistungsproblemen im Zusammenhang mit Microsoft Defender Antivirus-Echtzeitschutz (RTP) oder Überprüfungen (geplant oder bedarfsgesteuert). Führen Sie dann die Microsoft Defender Antivirus-Leistungsanalyse aus. Dieses Tool hilft dabei, die Ursache einer hohen CPU-Auslastung in Microsoft Defender Antivirus zu identifizieren, unabhängig davon, ob es sich um die ausführbare Datei des Antimalware-Diensts, den Microsoft Defender Antivirus-Dienst oder MsMpEng.exe handelt. Wenn die Microsoft Defender Antivirus-Leistungsanalyse die Grundursache der hohen CPU-Auslastung nicht identifiziert, fahren Sie mit der Ausführung des Prozessormonitors fort. Das letzte Tool in Ihrem Toolkit für die Ausführung ist Windows Performance Recorder UI (WPRUI) oder Windows Performance Recorded (WPR-Befehlszeile).

Erfassen von Prozessprotokollen mithilfe des Prozessmonitors

Process Monitor (ProcMon) ist ein erweitertes Überwachungstool, das Echtzeitdaten zu Prozessen bereitstellt. Es kann verwendet werden, um Leistungsprobleme zu erfassen, z. B. eine hohe CPU-Auslastung, und um Anwendungskompatibilitätsszenarien zu überwachen, sobald sie auftreten.

Sie können eine Prozessmonitor-Ablaufverfolgung (ProcMon) mithilfe der MDE Client Analyzer oder mithilfe eines manuellen Prozesses erfassen.

Verwenden des MDE Client Analyzer

Laden Sie die MDE Client Analyzer herunter.
Führen Sie die MDE Client Analyzer mithilfe von Live Response oder lokal aus.

Tipp

Stellen Sie vor dem Starten der Ablaufverfolgung sicher, dass das Problem reproduzierbar ist. Schließen Sie außerdem alle Anwendungen, die nicht zur Vervielfältigung des Problems beitragen.
Führen Sie die MDE Client Analyzer mit den -c Schaltern und -v aus:
```
C:\Work\tools\MDEClientAnalyzer\MDEClientAnalyzer.cmd -c -v
```

Manueller Prozess

Laden Sie Process Monitor v4.01 in einen Ordner wie C:\tempherunter.
So entfernen Sie die Markierung der Datei im Web:
1. Klicken Sie mit der rechten Maustaste aufProcessMonitor.zip, und wählen Sie Eigenschaften aus.
2. Suchen Sie auf der Registerkarte Allgemein nach Sicherheit.
3. Aktivieren Sie das Kontrollkästchen neben Blockierung aufheben.
4. Wählen Sie Anwenden aus.
Entzippen Sie die Datei in C:\temp , sodass der Ordnerpfad lautet C:\temp\ProcessMonitor.
Kopieren Sie Procmon.exe auf den Windows-Client oder Windows-Server, den Sie behandeln möchten.

Tipp

Stellen Sie vor dem Ausführen von ProcMon sicher, dass alle anderen Anwendungen, die nicht mit dem Problem mit hoher CPU-Auslastung zusammenhängen, geschlossen sind. Durch diesen Schritt wird die Anzahl der zu überprüfenden Prozesse minimiert.
Sie können ProcMon auf zwei Arten starten: über Procmon.exe oder über die Befehlszeile.
- Um Procmon.exezu verwenden, laden Sie es herunter, und öffnen Sie sie als Administrator.
  1. Wenn Sie ProcMon zum ersten Mal verwenden, klicken Sie auf Zustimmen , um den Process Monitor-Lizenzvertrag zu akzeptieren.
  2. Da die Protokollierung automatisch gestartet wird, beenden Sie die Erfassung, indem Sie die Schaltfläche Erfassen auswählen oder STRG+E drücken.
  3. Um zu bestätigen, dass die Aufzeichnung beendet wurde, suchen Sie auf der Schaltfläche Erfassen nach einem Pausensymbol, und löschen Sie dann die protokollierten Einträge, indem Sie die Schaltfläche Löschen auswählen oder STRG+X drücken.
- Um die Befehlszeile zu verwenden, öffnen Sie die Eingabeaufforderung als Administrator. Führen Sie dann den folgenden Befehl aus:
Tipp

Machen Sie das ProcMon-Fenster beim Erfassen von Daten so klein wie möglich, damit Sie die Ablaufverfolgung einfach starten und beenden können
Legen Sie Filter fest, indem Sie das Filtersymbol auswählen. Standard Filter sind standardmäßig festgelegt. Sie können die Ergebnisse auch filtern, nachdem die Erfassung abgeschlossen ist. Wenn Sie Filter angewendet haben, klicken Sie auf Übernehmen und dann auf OK.
Um die Erfassung zu starten, wählen Sie erneut die Schaltfläche Erfassen aus.
Reproduzieren Sie das Problem.

Tipp

Warten Sie, bis das Problem reproduziert wurde, und notieren Sie sich den Zeitstempel, wenn die Ablaufverfolgung beginnt.
Nach der Erfassung von zwei bis vier Minuten Prozessaktivität bei hoher CPU-Auslastung beenden Sie die Erfassung, indem Sie auf die Schaltfläche Erfassen klicken.
Um die Aufnahme mit einem eindeutigen Namen im .pml Format zu speichern, wechseln Sie zu Datei , und klicken Sie dann auf Speichern.... Vergewissern Sie sich, dass Sie die Optionsfelder Alle Ereignisse und PML (Native Process Monitor Format) auswählen.
Für eine bessere Nachverfolgung ändern Sie den Standardpfad von C:\temp\ProcessMonitor\LogFile.PML in C:\temp\ProcessMonitor\%ComputerName%_LogFile_MMDDYEAR_Repro_of_issue.PML , wo: