Windows-Hostprozesse entschlüsselt

So mancher Benutzer reibt sich verwundert die Augen ob der vielen Hostprozesse, die im Task-Manager laufen. Der Beitrag wirft einen kurzen Blick hinter die Kulissen und zeigt, wie man herausfindet, was sich hinter einzelnen Hostprozessen wirklich verbirgt.

Ruft man unter Windows 7 als Benutzer den Task-Manger auf, tauchen dort Prozesse wie taskhost.exe oder svchost.exe auf. Was hat es damit auf sich? Die Frage wird spätestens dann relevant, wenn einer dieser Prozesse CPU-Last erzeugt und der Verursacher ermittelt werden muss.

Taskhost, was ist das?

Der Prozess gehört zur betreffenden Datei taskhost.exe. Es handelt sich um einen generischen Host-Prozess für 32-Bit-Dienste, die unter Windows laufen und aus DLL-Dateien (statt aus EXE-Programmdateien) ausgeführt werden. Beim Systemstart prüft taskhost in der Registrierung, welche dll-basierenden Dienste benötigt werden und lädt diese in den Speicher. Dann werden die DLLs in unterschiedlichen Instanzen von taskhost ausgeführt (für jeden DLL-basierenden Dienst  bzw. für jede Dienstegruppe wird eine eigene Instanz gestartet).

Gelegentlich stellen Anwender fest, dass ein Prozess taskhost.exe im Task-Manager auf der Registerkarte Prozesse auftaucht und eine erhöhte Systemlast erzeugt [2].

Leider lassen sich im Task-Manager keine weiteren Informationen herausbekommen, welche DLL unter der Kontrolle von Taskhost ausgeführt wird. Auskunftsfreudiger ist der Process Explorer aus den Sysinternals-Tools [1].

Beim Zeigen auf den Eintrag für Taskhost blendet der Process Explorer eine QuickInfo ein, die zumindest angibt, welche Dienste unter der Kontrolle des Prozesses ablaufen. In einigen Fällen lassen sich auch die geladenen DLLs ermitteln – und so zur Problemanalyse heranziehen [3].

Was ist "svchost.exe"?

Der zweite mysteriöse Prozess im Task-Manager ist svchost.exe. Auch dies ist ein Prozess auf dem Computer, der als Host für einzelne Dienste fungiert oder Dienste enthält, die von Windows zum Ausführen verschiedener Funktionen verwendet werden. So benutzt Windows Defender beispielsweise einen Dienst, für den ein Prozess von svchost.exe als Host dient. Bei Bedarf können mehrere Instanzen von svchost.exe unter Windows ausgeführt werden (jede Instanz umfasst andere Dienste). Welche Dienste zu startenden sind, wird durch Windows aus der Registrierung ermittelt [5].

Bei svchost.exe lässt sich direkt im Windows Task-Manager herausfinden, welche Dienste zur jeweiligen Instanz gehören.

1. Öffnen Sie den Task-Manager (z. B. über das Kontextmenü der Taskleiste) und gehen Sie zur Registerkarte Prozesse.
2. Klicken Sie auf die Schaltfläche Prozesse aller Benutzer anzeigen und bestätigen Sie die Sicherheitsabfrage der Benutzerkontensteuerung.
3. Öffnen Sie mit der rechten Maustaste das Kontextmenü einer Instanz von svchost.exe, und wählen Sie den Befehl Zu Dienst(en) wechseln.

Sobald die Registerkarte Dienste angezeigt wird, sollten alle von svchost.exe verwalteten Dienste markiert dargestellt werden.

Sie können natürlich auch den bereits oben erwähnten Process Explorer aus den Sysinternals Tools verwenden. Dieser zeigt direkt die abhängigen Prozesse von svchost.exe an. Unter [4] findet sich zudem eine kurze Übersicht, wo ein svchost process analyzer vorgestellt wird. Im Thread unter [6] findet sich zudem noch ein Link auf eine .hta-Anwendung, um die svchost-Prozesse aufzulisten.

Conhost, aller guten Dinge sind Drei

Als Dritter im Bunde taucht gelegentlich der Prozess conhost.exe im Taskmanager auf. Gelegentlich bedeutet, immer nur dann, wenn das Fenster der Eingabeaufforderung geöffnet ist. Der Prozess conhost.exe zieht eine Art Zwischenschicht zwischen der Konsole (Eingabeaufforderung) und dem Clint Server Runtime Process (csrr.exe) ein. Dadurch wird sichergestellt, dass das Fenster der Eingabeaufforderung eine funktionierende Bildlaufleiste und auch Drag&Drop unterstützt. Unter [7] finden sich für interessierte Leser weitere Hintergrundinfos.

Weiterführende Links:
1: Sysinternals-Tools
2: US-Forendiskussion
3: Infos zu Taskhost (Englisch)
4: Svchost Process Analyzer
5: KB-Artikel zu svchost
6: Forendiskussion (Microsoft)
7: Infos zu conhost.exe (Englisch)