LsaIso.exe

Windows-ProzessMicrosoft Corporation

Katalogsuchbegriffe lsaiso, lsa isolated, isolated lsa, credential guard

WindowsSystemkomponente

Isolierte LSA. Wenn Credential Guard aktiviert ist, speichert dieses Trustlet NTLM-Hashes und Kerberos-Tickets im Virtual Secure Mode, getrennt von lsass.exe.

Was Sie wissen müssen

Dies ist die isolierte LSA, keine zweite Kopie von lsass.exe, die Sie für mehr RAM beenden können.

LsaIso.exe wird als Isolated User Mode Trustlet ausgeführt, wenn Credential Guard aktiviert ist. lsass.exe authentifiziert weiterhin in der normalen Umgebung. Geheimnisse verbleiben hier. Sie können keinen Debugger daran anhängen.

Sicher?: Überprüfen Sie Pfad, Signatur und Herausgeber der ausgeführten Datei. Der Name allein kann keine Sicherheit belegen.
Dasselbe wie lsass?: Nein. Dieser ist isoliert
Sollte ich ihn beenden?: Nein

Feex sagt

Wenn LsaIso auf der Liste steht, erfüllt Credential Guard die von Microsoft dokumentierte Funktion. Ich würde es nicht beenden, um "die Anmeldung zu beschleunigen". Wegen dieses Prozesses bleiben gestohlene lsass-Speicherabbilder leer.

Was ist LsaIso.exe?

LsaIso.exe ist der isolierte LSA-Prozess. Credential Guard verschiebt Passworthashes und Kerberos-TGTs hierher, sodass das normale lsass.exe-Speicherabbild weniger nützlich für Angreifer ist.

Was macht es?

Er kommuniziert mit lsass.exe über einen eingeschränkten RPC-Kanal. Er hostet keine Treiber von Drittanbietern. Er zeichnet nicht den Sperrbildschirm.

Warum läuft es?

Auf dem PC sind virtualisierungsbasierte Sicherheit und Credential Guard aktiviert. Windows 11 aktiviert dies standardmäßig auf geeigneter Hardware. Kein LsaIso bedeutet in der Regel, dass Guard deaktiviert ist, nicht dass lsass verschwunden ist.

Die laufende Instanz untersuchen

In Windows PowerShell listet diese schreibgeschützte Abfrage übereinstimmende Prozess-IDs, Erstellungszeiten und ausführbare Pfade auf diesem PC auf.

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'LsaIso.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

Kein Ergebnis oder ein unzugänglicher Pfad ist nicht schlüssig. Geschützte Prozesse können den Zugriff einschränken, und Prozess-IDs können wiederverwendet werden. Halten Sie persönliche Pfade lokal.

Verwenden Sie den Dateiidentifizierungsleitfaden zum Vergleichen von Signaturen und Metadaten des Produkts. Ein Dateiname allein kann keine Sicherheit feststellen.

Ist es sicher?

Diese laufende Datei verifizieren

Ein isoliertes LSA-Trustlet von Microsoft wird erwartet, wenn Credential Guard aktiviert ist. Eine zufällige LsaIso.exe unter Downloads ist nicht dieses Trustlet. Sie können diesen Prozess auch nicht sinnvoll aus dem Benutzermodus heraus sichern.

Vergleichen Sie den aufgezeichneten Speicherort mit der tatsächlichen Datei. Ein bekannter Ordner allein begründet keine Identität.

C:\Windows\System32\LsaIso.exe

Erwarteter Herausgeber: Microsoft Corporation
Vorhanden, wenn Credential Guard aktiviert ist
Gegenstück in der normalen Umgebung: lsass.exe

Kann ich es beenden?

Nein

Das Beenden von LsaIso.exe wird als Fehler eines Sicherheitsprozesses gewertet. Es handelt sich nicht um eine RAM-Bereinigung. Microsoft dokumentiert eine hohe CPU-Last als Problem von Drittanbieter-Injektionen, nicht als Ziel zum Beenden.

Kann ich es entfernen?

Nein

Löschen Sie LsaIso.exe nicht. Deaktivieren Sie Credential Guard nur mit einer dokumentierten Richtlinie, wenn eine Branchenanwendung inkompatibel ist.

Sollte es mit Windows starten?

wininit startet Isolated LSA über den sicheren Prozesspfad. Es ist kein Kontrollkästchen in den Autostart-Apps.

Ressourcennutzung messen

Messen Sie den aktuellen Prozess, anstatt eine universelle Basislinie anzunehmen
CPU und Speicher	Vergleichen Sie mehrere Beobachtungen für dieselbe PID und Arbeitslast. Dieser Eintrag hat keine unabhängig gemessene universelle Basislinie.
Festplatte und Netzwerk	Ordnen Sie die Aktivität dem tatsächlichen Prozess und der aktuellen Aufgabe zu; ein Dateiname allein begründet keine erwarteten Ziele oder Übertragungsvolumen.

Dateiinformationen

LsaIso.exe Dateiinformationen
Name der ausführbaren Datei	LsaIso.exe
Aufgezeichneter Installationspfad	C:\Windows\System32\LsaIso.exe
Herausgeber	Microsoft Corporation
Signaturprüfung	Untersuchen Sie die tatsächliche Datei; dieser Eintrag bescheinigt nicht ihre Zertifikatsidentität.

Häufige Probleme

Hohe CPU-Auslastung bei LsaIso

Laut Microsoft können Apps, die DLLs injizieren oder APCs in die isolierte LSA einreihen, diese destabilisieren. Entfernen Sie den letzten Sicherheits- oder Overlay-Anbieter, bevor Sie Guard deaktivieren.

Leere lsass-Speicherabbilder nach einem "Audit"

Das ist die Funktionsweise von Credential Guard. Die Hashes befinden sich nicht mehr in lsass.

Fehlerbehebung

Diagnostizieren Sie, bevor Sie destruktive Änderungen vornehmen.

Bestätigen, dass Credential Guard aktiviert ist

Systeminformationen oder msinfo32 zeigt Virtualisierungsbasierte Sicherheit an. LsaIso sollte diesem Status entsprechen.

Hängen Sie keinen Debugger an

IUM-Prozesse verweigern normales Debugging. Befolgen Sie stattdessen die Schritte von Microsoft zur Anbieter-Eliminierung.

Technische Details

LsaIso.exe Technische Details
Abbildname	LsaIso.exe
Rolle	Isolierte LSA / Credential Guard-Trustlet

Identität einer laufenden Datei überprüfen

Ein Dateiname allein kann keine Sicherheit feststellen. Überprüfen Sie den tatsächlichen Pfad, die Signatur und die Produktidentität.

Quellen und Verifizierung

Erfasstes Quellenlabel: August 2026. Dieses Label begründet keine unabhängige Verifizierung. Wie wir recherchieren.

Microsoft Learn: Credential Guard · LsaIso speichert Geheimnisse unter VBS
Microsoft Learn: IUM-Prozesse · In Trustlets kann kein Code eingeschleust werden
Microsoft: Hohe CPU-Auslastung durch LsaIso · Nebenwirkungen von APC- und DLL-Injektionen
Foxhole-Prozesskarte · Erstanbieter-Stichproben auf Windows-PCs. Kein Labor-Benchmark.
Microsoft Sysinternals: Sigcheck · Erläutert, wie Dateisignaturen geprüft werden. Diese Referenz belegt nicht die Identität oder Sicherheit einer bestimmten laufenden Datei.
Microsoft: Get-CimInstance · Schreibgeschützte lokale Prozessabfragemethode.
Microsoft: Win32_Process-Eigenschaften · Dokumentiert Prozess-IDs, ausführbare Pfade, Erstellungsdaten und die Wiederverwendung von Eltern-IDs.

War dieser Artikel nützlich?

Ein Ja oder Nein genügt. Wählen Sie optional einen Grund oder fügen Sie eine kurze Notiz hinzu.