powershell.exe

OwendungsprozessMicrosoft Corporation

Suchbegriffe im Katalog powershell, windows powershell

WindowsOwendung

Windows PowerShell 5.1. pwsh.exe is PowerShell 7. Beide kenna do sei. S Konsolenfenster is oft conhost.exe.

Wos ma wissn muaß

Des is Windows PowerShell 5.1. S Skript auf da Befehlszeiln is s Risiko, ned da Host-Nam.

powershell.exe is Windows PowerShell. pwsh.exe is de neiare PowerShell. conhost.exe zeichnet des Fensta. A vasteckts powershell.exe aus am Word-Makro is a Befehlszeiln-Gschicht.

Sicha?: Bschau an Pfad, d'Signatur und an Heasteja vo da laffendn Datei. Da Nam alloa bweist no koa Sichaheit.
Des Gleiche wia pwsh?: Naa. pwsh is PowerShell 7
Warum is conhost do?: Des is des Konsolnfensta

Feex sogt

I bezeichn powershell.exe nia ois Schadsoftware, blos weil s lafft. I liass de Befehlszeiln. A signierta Host, dea a Temp-Skript ausfiaht, is des Problem.

Wos is powershell.exe?

powershell.exe is Windows PowerShell 5.1, des mid Windows ausgliefat werd. S is ned pwsh.exe, des ma ois PowerShell 7 vo Microsoft installiert.

Wos duad des?

S fiaht Skripte und Cmdlets aus. De Ausfiarungsrichtlinie (Execution Policy) ko unsignierte lokale Skripte blockiern. A Bypass auf da Befehlszeiln is a Alarmsignal, wann du des ned eitippt host.

Warum lafft des?

Du host a Eingabeaufforderung gstart, a geplante Aufgabe oda a Installer hod a Skript ausgfiaht. Dateilose Schadsoftware nutzt den Host aa. Pfad plus Befehlszeiln entscheidn ibas Problem.

Die laufende Instanz inspizieren

In Windows PowerShell listet diese schreibgeschützte Abfrage passende Prozess-IDs, Erstellungszeiten und ausführbare Pfade auf diesem PC auf.

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

Kein Ergebnis oder ein unzugänglicher Pfad ist nicht schlüssig. Geschützte Prozesse können den Zugriff einschränken, und Prozess-IDs können wiederverwendet werden. Halten Sie persönliche Pfade lokal.

Verwenden Sie den Dateiidentifikationsleitfaden zum Vergleichen von Signaturen und Produktmetadaten. Ein Dateiname allein kann keine Sicherheit feststellen.

Is des sicha?

Host is legitim. S Skript is de Frog

powershell.exe in System32 oda SysWOW64 is da Windows-Host. Sichaheit hängt vom Ibgeordnetn Prozess und da -Command / -EncodedCommand-Zeiln ob. Urteile rein nochm Dateinam scheitan do.

Vergleichen Sie den aufgezeichneten Speicherort mit der tatsächlichen Datei. Ein vertrauter Ordner allein stellt keine Identität fest.

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe

PowerShell 7 is pwsh.exe
32-Bit-Host liegt unta SysWOW64
Lias imma de Argumente

Ko i des beendn?

Stoppt des Skript

S Beendn vo powershell.exe bricht de Sitzung ob. Wann a Aufgabe s nei start, suach de Aufgabe. S Beendn vo conhost.exe schliaßt nua des Fensta.

Ko i des leschn?

Lösch powershell.exe ned. Schränk de Skriptausfiahrung iba Richtlinien ei, wann des a obgsicherta PC is. De Windows-Wartung braucht den Host.

Soit des mit Windows startn?

A Autostart-PowerShell mid vastecktem Fensta is a Persistenz-Prüfung. A interaktive Vaknüpfung, de du sejba oglegt host, is bassnd.

Ressourcennutzung messen

Messen Sie den aktuellen Prozess, anstatt eine universelle Basislinie anzunehmen
CPU und Speicher	Vergleichen Sie mehrere Beobachtungen für dieselbe PID und Arbeitslast. Dieser Eintrag hat keine unabhängig gemessene universelle Basislinie.
Festplatte und Netzwerk	Ordnen Sie die Aktivität dem tatsächlichen Prozess und der aktuellen Aufgabe zu; ein Dateiname allein stellt keine erwarteten Ziele oder Übertragungsvolumen fest.

Datei-Informationa

powershell.exe Datei-Informationen
Nam vo da ausfiahrborn Datei	powershell.exe
Aufgezeichneter Installationspfad	C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
Heasteja	Microsoft Corporation
Signaturprüfung	Inspizieren Sie die tatsächliche Datei; dieser Eintrag bescheinigt nicht deren Zertifikatsidentität.

Haifige Probleme

EncodedCommand beim Omejdn

Kopian de Zeiln und dekodian s in am sichan Editor. Des is de Nutzlast (Payload), ned „PowerShell is a Virus“.

Vawexlt mid cmd

Batch-Dateien san cmd.exe. PowerShell-Profile san a ondane Startdatei.

Fehlersuach

Diagnostizier z'eascht, bevورst wos vaändast, des wos hii mocht.

Ibgeordnete PID (Parent PID) prüfn

Wann winword PowerShell start, is des a Office-Makro-Gschicht. Wann explorer s start, nochdemst auf a Vaknüpfung klickt host, bist as sejba gwen.

Deaktivier PowerShell ned, nua um oa oanzigs Skript z stoppn

Entfern de Aufgabe oda des Dokument. Da Host is a Werkzeig.

Technischn Details

powershell.exe Technische Details
Image-Nam	powershell.exe
Gschwistakind	pwsh.exe (PowerShell 7)

Identität vo ana laffadn Datei ibapriafe

Ein Dateiname allein kann keine Sicherheit feststellen. Überprüfen Sie den tatsächlichen Pfad, die Signatur und die Produktidentität.

Quöin und Iwerbriaftung

Eafossta Quöin-Stand: August 2026. De Kennzeichnung blegt koa unabhängige Iwerbriaftung. Wia mia recherchiern.

Microsoft Learn: PowerShell · Windows PowerShell und pwsh
Microsoft Learn: conhost · Hostprozess fia Konsolfensta
Foxhole-Prozesskoatn · Echte Stichprobn vo Windows-PCs. Koa Laboa-Benchmark.
Microsoft Sysinternals: Sigcheck · Eakleat, wia ma Dateisignaturen iwerbriaft. De Quöin bweist ned d'Identität oda Sichaheit vo ana bstimmtn laffendn Datei.
Microsoft: Get-CimInstance · Schreibgeschütztes lokales Prozessabfrageverfahren.
Microsoft: Win32_Process-Eigenschaften · Dokumentiert Prozess-IDs, ausführbare Pfade, Erstellungsdaten und Wiederverwendung von Eltern-IDs.

War dea Artikl huifreich?

A Ja oda Na glangt scho. Suach da an Grund aus, wennst mogst, oda schreib a kuaze Notiz.