# powershell.exe

Anwendungsprozess: Microsoft Corporation

Katalogsuchbegriffe powershell, windows powershell

Windows, Anwendung

Windows PowerShell 5.1. pwsh.exe ist PowerShell 7. Beide können vorhanden sein. Das Konsolenfenster ist oft conhost.exe.

## Was Sie wissen müssen

Dies ist Windows PowerShell 5.1. Das Skript in der Befehlszeile stellt das Risiko dar, nicht der Hostname.

powershell.exe ist Windows PowerShell. pwsh.exe ist das neuere PowerShell. conhost.exe zeichnet das Fenster. Eine ausgeblendete powershell.exe durch ein Word-Makro ist eine Befehlszeilen-Angelegenheit.

- **Sicher?**: Überprüfen Sie Pfad, Signatur und Herausgeber der ausgeführten Datei. Der Name allein kann keine Sicherheit belegen.

  **Dasselbe wie pwsh?**: Nein. pwsh ist PowerShell 7

  **Warum ist conhost vorhanden?**: Das ist das Konsolenfenster

Feex sagt

Ich bezeichne powershell.exe nie als Malware, nur weil es ausgeführt wird. Ich lese die Befehlszeile. Ein signierter Host, der ein Temp-Skript startet, ist das Problem.

## Was ist powershell.exe?

powershell.exe ist Windows PowerShell 5.1, das mit Windows ausgeliefert wird. Es ist nicht pwsh.exe, das Sie als PowerShell 7 von Microsoft installieren.

## Was macht es?

Es führt Skripts und Cmdlets aus. Die Ausführungsrichtlinie kann unsignierte lokale Skripts blockieren. Eine Umgehung (Bypass) in der Befehlszeile ist ein Warnsignal, wenn Sie sie nicht selbst eingegeben haben.

## Warum läuft es?

Sie haben eine Eingabeaufforderung geöffnet, eine geplante Aufgabe oder ein Installationsprogramm hat ein Skript gestartet. Auch dateilose Malware nutzt diesen Host. Pfad plus Befehlszeile entscheiden über den Kontext.

## Die laufende Instanz untersuchen

In Windows PowerShell listet diese schreibgeschützte Abfrage übereinstimmende Prozess-IDs, Erstellungszeiten und ausführbare Pfade auf diesem PC auf.

`Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List`

Kein Ergebnis oder ein unzugänglicher Pfad ist nicht schlüssig. Geschützte Prozesse können den Zugriff einschränken, und Prozess-IDs können wiederverwendet werden. Halten Sie persönliche Pfade lokal.

Verwenden Sie den [Dateiidentifizierungsleitfaden](https://feex.it/wiki/l/de/software/system/verify-executable-path-signature/) zum Vergleichen von Signaturen und Metadaten des Produkts. Ein Dateiname allein kann keine Sicherheit feststellen.

## Ist es sicher?

Der Host ist legitim. Das Skript ist die Frage

System32- oder SysWOW64-powershell.exe ist der Windows-Host. Die Sicherheit hängt vom übergeordneten Prozess und der Zeile -Command / -EncodedCommand ab. Urteile allein nach dem Dateinamen schlagen hier fehl.

Vergleichen Sie den aufgezeichneten Speicherort mit der tatsächlichen Datei. Ein bekannter Ordner allein begründet keine Identität.

`C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe`

- PowerShell 7 ist pwsh.exe
- Der 32-Bit-Host befindet sich unter SysWOW64
- Lesen Sie immer die Argumente

## Kann ich es beenden?

Beendet dieses Skript

Das Beenden von powershell.exe bricht diese Sitzung ab. Wenn eine Aufgabe sie neu startet, finden Sie die Aufgabe. Das Beenden von conhost.exe schließt nur das Fenster.

## Kann ich es entfernen?

Nein

Löschen Sie powershell.exe nicht. Schränken Sie die Skriptausführung über Richtlinien ein, falls dies ein gesperrter PC ist. Die Windows-Wartung setzt den Host voraus.

## Sollte es mit Windows starten?

Eine PowerShell beim Autostart mit ausgeblendetem Fenster ist eine Persistenz-Prüfung. Eine von Ihnen erstellte interaktive Verknüpfung ist unbedenklich.

## Ressourcennutzung messen

| CPU und Speicher        | Vergleichen Sie mehrere Beobachtungen für dieselbe PID und Arbeitslast. Dieser Eintrag hat keine unabhängig gemessene universelle Basislinie.                    |
| ----------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| Festplatte und Netzwerk | Ordnen Sie die Aktivität dem tatsächlichen Prozess und der aktuellen Aufgabe zu; ein Dateiname allein begründet keine erwarteten Ziele oder Übertragungsvolumen. |

## Dateiinformationen

| Name der ausführbaren Datei       | powershell.exe                                                                                      |
| --------------------------------- | --------------------------------------------------------------------------------------------------- |
| Aufgezeichneter Installationspfad | C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe                                           |
| Herausgeber                       | Microsoft Corporation                                                                               |
| Signaturprüfung                   | Untersuchen Sie die tatsächliche Datei; dieser Eintrag bescheinigt nicht ihre Zertifikatsidentität. |

## Häufige Probleme

### EncodedCommand bei der Anmeldung

Kopieren Sie die Zeile und dekodieren Sie sie in einem sicheren Editor. Das ist die Nutzlast, nicht "PowerShell ist ein Virus".

### Verwechslung mit cmd

Batch-Dateien gehören zu cmd.exe. PowerShell-Profile sind eine andere Autostart-Datei.

## Fehlerbehebung

Diagnostizieren Sie, bevor Sie destruktive Änderungen vornehmen.

### Übergeordnete PID überprüfen

Wenn winword powershell startet, handelt es sich um ein Office-Makro. Wenn explorer es startet, nachdem Sie auf eine Verknüpfung geklickt haben, waren Sie es selbst.

### Deaktivieren Sie PowerShell nicht, um ein einzelnes Skript zu stoppen

Entfernen Sie die Aufgabe oder das Dokument. Der Host ist ein Werkzeug.

## Technische Details

Technische Details

| Abbildname         | powershell.exe          |
| ------------------ | ----------------------- |
| Geschwisterprozess | pwsh.exe (PowerShell 7) |

## Identität einer laufenden Datei überprüfen

Ein Dateiname allein kann keine Sicherheit feststellen. Überprüfen Sie den tatsächlichen Pfad, die Signatur und die Produktidentität.

## Verwandt

Diese Entitäten sind mit diesem Artikel verknüpft. Der Typ wird bei jedem Link angezeigt.

[Windows PowerShell: Anwendung](https://feex.it/wiki/l/de/software/windows-powershell/)[cmd.exe: Anwendungsprozess](https://feex.it/wiki/l/de/process/cmd.exe/)[conhost.exe: Windows-Prozess](https://feex.it/wiki/l/de/process/conhost.exe/)[Überprüfen Sie einen ausführbaren Pfad und eine digitale Signatur: Leitfaden](https://feex.it/wiki/l/de/software/system/verify-executable-path-signature/)[Task-Manager lesen und Prozessaktivität vergleichen: Leitfaden](https://feex.it/wiki/l/de/software/system/how-to-read-task-manager/)[Anwendungsprozesse: Kategorie](https://feex.it/wiki/process/application/)

## Quellen und Verifizierung

Erfasstes Quellenlabel: August 2026. Dieses Label begründet keine unabhängige Verifizierung. [Wie wir recherchieren](https://feex.it/wiki/research/).

- [Microsoft Learn: PowerShell ](https://learn.microsoft.com/powershell/scripting/overview)· Windows PowerShell und pwsh
- [Microsoft Learn: conhost ](https://learn.microsoft.com/windows/console/console-host)· Hostfenster für Konsolenfenster
- [Foxhole-Prozesskarte ](https://foxhole.feex.it/)· Erstanbieter-Stichproben auf Windows-PCs. Kein Labor-Benchmark.
- [Microsoft Sysinternals: Sigcheck ](https://learn.microsoft.com/en-us/sysinternals/downloads/sigcheck)· Erläutert, wie Dateisignaturen geprüft werden. Diese Referenz belegt nicht die Identität oder Sicherheit einer bestimmten laufenden Datei.
- [Microsoft: Get-CimInstance ](https://learn.microsoft.com/en-us/powershell/module/cimcmdlets/get-ciminstance)· Schreibgeschützte lokale Prozessabfragemethode.
- [Microsoft: Win32_Process-Eigenschaften ](https://learn.microsoft.com/en-us/windows/win32/cimwin32prov/win32-process)· Dokumentiert Prozess-IDs, ausführbare Pfade, Erstellungsdaten und die Wiederverwendung von Eltern-IDs.

## War dieser Artikel nützlich?

Ein Ja oder Nein genügt. Wählen Sie optional einen Grund oder fügen Sie eine kurze Notiz hinzu.

Schnellübersicht

Die Kurzinformationen zu dieser Seite. Technische Daten, Quellen und die vollständigen Details verbleiben im Artikel.

- **Typ**: Anwendungsprozess

  **Herausgeber**: Microsoft Corporation

  **Ausführbare Datei**: powershell.exe

  **Übergeordnete App**: [Windows PowerShell](https://feex.it/wiki/l/de/software/windows-powershell/)

  **Kontext aufzeichnen**: Feex Wiki-Eintragsreferenz

Erfasster Quellstatus: Von Feex überprüft: Erfasstes Quellenlabel: August 2026. Dieses Label begründet keine unabhängige Verifizierung.

---

Source: [Canonical Feex Wiki page](https://feex.it/wiki/l/de/process/powershell.exe/)

[Developer guide](https://feex.it/wiki/developers/) | [API policy](https://feex.it/developers/api-policy/) | [Agent guidance](https://feex.it/wiki/llms.txt)