1. [Wiki](https://feex.it/wiki/)
2. [Prozäss](https://feex.it/wiki/process/)
3. [Applikationsprozässe](https://feex.it/wiki/process/application/)
4. powershell.exe

# powershell.exe

Aawändigsprozäss: Microsoft Corporation

Suchbegriffe im Katalog: powershell, windows powershell

Windows, Aawändig

Windows PowerShell 5.1. pwsh.exe isch PowerShell 7. Beidi chönd vorhande sy. S Konsolefäischter isch hüüfig conhost.exe.

## Was du wüsse muesch

Das isch Windows PowerShell 5.1. S Skript uf de Befehlszyyle isch s Risiko, nöd de Hostname.

powershell.exe isch Windows PowerShell. pwsh.exe isch s neuere PowerShell. conhost.exe zeichnet s Fäischter. E versteckti powershell.exe vome Word-Makro isch e Befehlszyyle-Gschicht.

- **Sicher?**: Überprüef de Pfad, d Signatur und de Herusgeber vo de laufende Datei. De Name ällei garantiert kei Sicherheit.

  **Gliich wie pwsh?**: Nei. pwsh isch PowerShell 7

  **Warum isch conhost da?**: Das isch s'Konsolefenschter

Feex meint

Ich bezeichne powershell.exe nie als Schadsoftware, nur will s lauft. Ich lise d Befehlszyyle. En signierte Host, wo nes Temp-Skript startet, isch s Problem.

## Was isch powershell.exe?

powershell.exe isch Windows PowerShell 5.1, mitgliferet mit Windows. Es isch nöd pwsh.exe, wo me als PowerShell 7 vo Microsoft installiert.

## Was macht das?

Es füehrt Skripts und Cmdlets uus. D Uusfüehrigsrichtlinie cha unsignierti lokali Skripts blockiere. En Bypass uf de Befehlszyyle isch es Warnsignal, wänn du's nöd sälber tippt häsch.

## Warum lauft das?

Du häsch en Iigabeufforderig uftaa, en plänti Uufgab oder en Installer hät es Skript gstartet. Datei-losi Malware bruucht dää Host au. Pfad plus Befehlszyyle entscheidet über d Gschicht.

## Laufendi Instanz inspiziere

I Windows PowerShell listet die schriibgschützti Abfrag passendi Prozess-IDs, Erstellzite und Pfad zum usführbare Programm uf dem PC uf.

`Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List`

Kein Ergebis oder en unerreichbari Pfad isch ned abschliessend. Gschützi Prozässe chönd de Zugrif einschränke, und Prozess-IDs chönd wiederverwendet werde. Halte persönlichi Pfad lokal.

Bruuch de [Datei-Identitäts-Führer](https://feex.it/wiki/l/gsw/software/system/verify-executable-path-signature/) zum Vergliich vo Signature und Produktmetadate. En Dateiname alliä chan kei Sicherheit bestätige.

## Isch es sicher?

Host isch legitim. Skript isch d Frag

powershell.exe in System32 oder SysWOW64 isch de Windows-Host. D Sicherhit definiert sich dur de übergoordneti Prozess und d -Command / -EncodedCommand-Zyyle. Urteil nur anhand vom Dateiname funktioniered da nöd.

Vergliich de aufgezeichnete Ort mit de tatsächliche Datei. En bekannte Ordner alliä bestätigt d'Identität ned.

`C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe`

- PowerShell 7 isch pwsh.exe
- 32-Bit-Host liit under SysWOW64
- Lis immer d Argument

## Chan ich's beände?

Stoppt das Skript

powershell.exe beände bricht die Sitzig ab. Wänn en Task si neu startet, suech dää Task. conhost.exe beände schlüsst nur s Fäischter.

## Chan ich's entferne?

Nei

Lösch powershell.exe nöd. Schränk d Skriptuusfüehrig mit Richtlinie ii, wänn das en gsperrte PC isch. D Windows-Wartig setzt dää Host voruus.

## Sött's mit Windows starte?

E Autostart-PowerShell mit verstecktem Fäischter isch en Persischtänz-Prüefig. E interaktivi Verknüpfig, wo du sälber gmacht häsch, isch in Ornig.

## Ressource-Nutzig missse

| CPU und Speicher        | Vergliich mehri Beobachtige für die gliichi PID und Arbeitslast. Dä Itrag hät kei unabhängig gemessene universelle Basiswert.                |
| ----------------------- | -------------------------------------------------------------------------------------------------------------------------------------------- |
| Festplatte und Netzwerk | Ordne Aktivitätem em tatsächliche Prozess und de aktuelle Ufgab zue; en Dateiname alliä bestätigt ned erwarteti Ziel oder Übertragigsvolume. |

## Datei-Informatione

| Name vom Programm              | powershell.exe                                                                         |
| ------------------------------ | -------------------------------------------------------------------------------------- |
| Aufzeichneti Installationspfad | C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe                              |
| Herusgeber                     | Microsoft Corporation                                                                  |
| Signaturprüfig                 | D'tatsächliche Datei inspiziere; dä Itrag zertifiziert d'Identität vom Zertifikat ned. |

## Hüüfigi Problem

### EncodedCommand bim Aamälde

Kopier d Zyyle und decodier si imene sichere Editor. Das isch d Nutzlascht, nöd "PowerShell isch en Virus".

### Verwächslet mit cmd

Batch-Dateie sind cmd.exe. PowerShell-Profile sind anderi Startdateie.

## Fählersuechi

Diagnostizier, bevor du öppis Zerschtörerischs machsch.

### Übergoordneti PID überpfrüefe

winword, wo powershell startet, isch e Office-Makro-Gschicht. explorer, wo's startet, nachdem du uf e Verknüpfig klickt häsch, bisch du.

### Deaktivier PowerShell nöd, nur zum eis Skript z stoppe

Entfern de Task oder s Dokumänt. De Host isch es Wärchzüüg.

## Technischi Detail

Technischi Detail

| Abbildname     | powershell.exe          |
| -------------- | ----------------------- |
| Gschwüschterti | pwsh.exe (PowerShell 7) |

## Identität vonere laufende Datei überprüefe

En Dateiname alliä chan kei Sicherheit bestätige. Überprüf de tatsächliche Pfad, d'Signatur und d'Produktidentität.

## Verwandt

Die Entitäte stönd mit däm Artikel in Verbindig. De Typ wird bi jedem Link aazeigt.

[Windows PowerShell: Aawändig](https://feex.it/wiki/l/gsw/software/windows-powershell/)[cmd.exe: Aawändigsprozäss](https://feex.it/wiki/l/gsw/process/cmd.exe/)[conhost.exe: Windows-Prozäss](https://feex.it/wiki/l/gsw/process/conhost.exe/)[Usführbari Pfad und digitale Signatur überprüfe: Aaläitig](https://feex.it/wiki/l/gsw/software/system/verify-executable-path-signature/)[Task Manager läse und Prozessaktivität vergliiche: Aaläitig](https://feex.it/wiki/l/gsw/software/system/how-to-read-task-manager/)[Applikationsprozässe: Kategorie](https://feex.it/wiki/process/application/)

## Quelle und Verifikation

Erfassts Quell-Label: August 2026. Das Label stellt kei unabhängigi Verifikation dar. [Wie mir recherchiered](https://feex.it/wiki/research/).

- [Microsoft Learn: PowerShell ](https://learn.microsoft.com/powershell/scripting/overview)· Windows PowerShell und pwsh
- [Microsoft Learn: conhost ](https://learn.microsoft.com/windows/console/console-host)· Host für Konsoläfäischter
- [Foxhole-Prozässcharte ](https://foxhole.feex.it/)· Primäri Stichprobe uf Windows-PCs. Kei Labor-Benchmark.
- [Microsoft Sysinternals: Sigcheck ](https://learn.microsoft.com/en-us/sysinternals/downloads/sigcheck)· Erchlärt, wie Datei-Signature prüeft wärded. Die Referänz stellt d Identität oder Sicherheit vonere bstimmte laufende Datei nöd fest.
- [Microsoft: Get-CimInstance ](https://learn.microsoft.com/en-us/powershell/module/cimcmdlets/get-ciminstance)· Schriibgschützti lokale Prozess-Abfrag-Method.
- [Microsoft: Win32_Process Eigeschafte ](https://learn.microsoft.com/en-us/windows/win32/cimwin32prov/win32-process)· Dokumentiert Prozess-IDs, Pfad zum usführbare Programm, Erstellzite und Eltere-ID-Wiederverwendung.

## Isch dä Artikel nützlich gsi?

Es Ja oder Nei längt. Wähl en Grund us, wänn du wotsch, oder schryb e churzi Notiz.

Faktenübersicht

Di churzi Identität vo dere Syte. Spezifikatione, Quelle und di ganzi Gschicht bliibed im Artikel.

- **Typ**: Aawändigsprozäss

  **Herusgeber**: Microsoft Corporation

  **Usführbari Datei**: powershell.exe

  **Übergeordneti App**: [Windows PowerShell](https://feex.it/wiki/l/gsw/software/windows-powershell/)

  **Kontext ufzeichne**: Feex Wiki Referenze-Itrag

Erfasste Quällestatus: Feex Reviewed: Erfassts Quell-Label: August 2026. Das Label stellt kei unabhängigi Verifikation dar.

---

Source: [Canonical Feex Wiki page](https://feex.it/wiki/l/gsw/process/powershell.exe/)

[Developer guide](https://feex.it/wiki/developers/) | [API policy](https://feex.it/developers/api-policy/) | [Agent guidance](https://feex.it/wiki/llms.txt)