Datenträger bei 100 %: Was muss man wirklich anhalten? — SysMain, Windows Search und Defender unterscheiden

Sie öffnen den Task-Manager, und der Datenträger steht bei 100 %. Das Öffnen einer App ist langsam, das Tippen ebenfalls. Dann stoßen Sie auf den Rat — „SysMain deaktivieren“, „Windows Search anhalten“, „Defender ausschalten“ — und der Reflex ist, alles zu stoppen.

Was hier zu trennen ist, sind jedoch „was liest und schreibt“ und „warum Ihre Vorgänge warten müssen“. Die Namen ganz oben im Task-Manager allein können diese Unterscheidung nicht leisten.

Dieser Artikel richtet sich vor allem an alltägliche Nutzerinnen und Nutzer von Windows-11-PCs. Er erklärt, wie die Anzeige zu lesen ist, welche Rolle die drei Funktionen haben und wie eine Untersuchung abläuft, deren Einstellungen sich zurücksetzen lassen. Bildschirmnamen und verfügbare Funktionen unterscheiden sich je nach Windows-Build und Verwaltungsrichtlinie. Schritte für Administratoren sind als solche gekennzeichnet. Die Quellen sind Microsoft-Primärdokumente, geprüft am 5. September 2026. Dieser Artikel hat keine Verbesserungsraten auf einem bestimmten Gerät gemessen.

1. Zuerst das Fazit: Die drei nicht auf dieselbe Weise anhalten

Die in diesem Artikel empfohlene Reihenfolge lautet beobachten → das Ziel eingrenzen → eine Sache ändern → zurücksetzen und vergleichen. Speichern Sie wichtige Dateien, und auf einem vom Unternehmen verwalteten PC sprechen Sie vor Einstellungsänderungen mit der Administration.

Diese Tabelle ist keine bloße Rangfolge, wie gefährlich das Anhalten jeweils ist. SysMain, Search und Defender haben getrennte Aufgaben: Systemleistung erhalten und verbessern, einen Index für die Suche aufbauen und vor Schadsoftware schützen. Was Sie jeweils verlieren, unterscheidet sich ebenfalls.¹²³

flowchart TB
    accTitle: Die Grundreihenfolge zur Untersuchung von 100 % Datenträger
    accDescr: Bei 100 % Datenträger zuerst die langsamen Vorgänge und das Ziel beobachten, eine einzelne Änderung vergleichen und dann zurücksetzen.
    A["100 % Datenträger und langsame Vorgänge"] --> B["Zeitraum und Ziel aufzeichnen"]
    B --> C["Eine Hypothese testen"]
    C --> D["Zurücksetzen und erneut prüfen"]
    D --> E["Nur die nötigen Maßnahmen behalten"]

Abbildung 1: Bevor Sie Einstellungen in einem Rutsch ändern, erzeugen Sie einen Zustand, mit dem Sie vergleichen können.

In der Abbildung kennzeichnet eine durchgezogene Linie eine stets geltende Beziehung und eine gestrichelte Linie eine bedingte (die Bedingungen stehen bei jeder Beziehung auf der Detailseite). Die vollständige Liste der Beziehungen (13 insgesamt, mit Beleg und Sicherheitsgrad) und die Definitionen der wichtigsten Konzepte sind auf der Detailseite der Wissenskarte (auf Japanisch) zusammengestellt. Daten: JSON-LD / Turtle

2. 100 % heißt weder „voll“ noch „Höchstgeschwindigkeit“

Öffnen Sie unter Leistung im Task-Manager den betroffenen Datenträger, sehen Sie aktive Zeit, Lese- und Schreibgeschwindigkeit sowie die durchschnittliche Antwortzeit. Der Anteil der Zeit, in der der Datenträger beschäftigt war, und die Menge der bewegten Daten sind zwei verschiedene Dinge. Ob der freie Speicherplatz knapp wird, muss getrennt geprüft werden.

Wenn beispielsweise jede einzelne Anforderung warten muss, bleibt die durchkommende Datenmenge klein, obwohl der Datenträger ununterbrochen arbeitet. Das ähnelt dem Unterschied zwischen dem gebündelten Transport großer Kisten und der Übergabe kleiner Kisten einzeln. Kleine Lese- und Schreibvorgänge oder Latenz auf Seiten des Speichermediums können den Datenträger bei nur wenigen MB/s in die Nähe von 100 % treiben. Auch Microsofts Unterlagen zur Leistungsuntersuchung prüfen die E/A-Antwortzeit, nicht nur den Durchsatz.⁴

Sowohl „es steht bei 100 %, also nutzt die SSD ihre volle Geschwindigkeit“ als auch „es sind nur wenige MB/s, also ist der Datenträger nicht die Ursache“ sind daher verfrüht. Betrachten Sie zuerst Datenträgernummer und Laufwerkbuchstaben, bei denen das Problem auftritt, gemeinsam. Liegen C: und D: auf demselben physischen Datenträger, kann Arbeit auf D: mit Vorgängen auf C: konkurrieren.

flowchart TB
    accTitle: Drei Kennzahlen für die Betrachtung eines Datenträgers
    accDescr: Aktive Zeit, Durchsatz und Antwortzeit sind getrennte Kennzahlen und sollten im selben Zeitraum gemeinsam betrachtet werden.
    A["Denselben Zeitraum beobachten"] --> B["Beschäftigung: aktive Zeit"]
    A --> C["Volumen: Lese- und Schreibgeschwindigkeit"]
    A --> D["Warten: Antwortzeit"]
    B --> E["Mit den langsamen Vorgängen abgleichen"]
    C --> E
    D --> E

Abbildung 2: Ein Prozentwert allein sagt nicht, ob das Volumen hoch oder die Wartezeit lang ist.

3. Die erste Beobachtung: Wann und bei welchen Dateien es langsam wird

Halten Sie noch keinen Dienst an; öffnen Sie den Task-Manager mit Ctrl + Shift + Esc. Sortieren Sie unter Prozesse nach der Spalte Datenträger und prüfen Sie gleichzeitig unter Leistung den betroffenen Datenträger. Starten Sie dann resmon.exe über Win + R und sehen Sie im Ressourcenmonitor unter Datenträger Prozessname, Datei, Lesen, Schreiben und Antwortzeit. Reichen die sichtbaren Informationen nicht aus, bitten Sie eine Administration um die Untersuchung.⁵

Verknüpfen Sie die Aufzeichnung mit dem, was Sie gerade taten: „drei Minuten nach dem Start“, „während des Entpackens einer ZIP“, „bis die Synchronisierung fertig ist“. Statt eines einzelnen Bildschirmaugenblicks empfiehlt dieser Artikel den Vergleich vor der Verlangsamung, währenddessen und nach der Erholung. Ein Zustand, in dem ein Update oder eine Kopie läuft und sich nach Abschluss beruhigt, verlangt einen anderen nächsten Schritt als einer, in dem derselbe kleine Vorgang jedes Mal lange hängen bleibt.

Die durchschnittliche Antwortzeit ist außerdem nicht der schlechteste Fall eines einzelnen Vorgangs. Erklären Sie einen Ausfall nicht anhand einer einzelnen hohen Zahl; gleichen Sie sie mit reproduzierbaren Stillständen und Fehlern ab. Auch wenn System oder svchost.exe weit oben stehen, beenden Sie sie nicht allein wegen des Namens zwangsweise. System umfasst auch Kernel- und Treiberarbeit.⁴

flowchart TB
    accTitle: Die Beobachtungsaufzeichnung, die für die Untersuchung bleiben soll
    accDescr: Ausgehend von Zeitpunkt und Vorgang der Verlangsamung Datenträger, Prozess, Dateien und die Bedingungen der Erholung aufzeichnen.
    A["Langsamer Vorgang und Zeitpunkt"] --> B["Den betroffenen Datenträger prüfen"]
    B --> C["Prozesse und Dateien ansehen"]
    C --> D["Auch nach dem Ende weiter beobachten"]
    D --> E["Die Erholungsbedingungen aufzeichnen"]

Abbildung 3: Hinterlassen Sie eine Aufzeichnung, mit der sich das Problem reproduzieren lässt, nicht nur „es war schwerfällig“.

4. Einen Namen zu sehen ist nicht dasselbe wie die Ursache zu finden

Wenn eine App sehr viele Dateien erzeugt, können zu ihren eigenen Schreibvorgängen Aktualisierungen des Suchindex und Sicherheitsüberprüfungen hinzukommen. Search indiziert Dateiinformationen für die Suche, und Defender überprüft Dateien und Prozesse.²⁶

Was folgt, ist ein Beispiel zum Nachdenken über Ursachen. Selbst wenn die Last von Defender steigt, während ein Entpackprogramm sehr viele Dateien erzeugt, heißt das nicht unbedingt „nur Defender ist kaputt“. Die Erzeugungsrate der Dateien, der Zielordner und die Antwort des Speichermediums können gemeinsam beitragen.

Umgekehrt ist es ebenfalls ein Fehler, eine Funktion für irrelevant zu erklären, weil sie ein legitimer Bestandteil von Windows ist. Auch eine notwendige Funktion kann in einer realen Umgebung zum Konkurrenzfaktor werden. Was Sie wissen wollen, ist nicht, wer schuld ist, sondern welche Arbeit, um wie viel reduziert, die benötigten Aufgaben verbessert.

flowchart TB
    accTitle: Beispiel, wie eine Aufgabe mehrere Lese- und Schreibvorgänge erzeugt
    accDescr: Zeigt, dass zur Massenerzeugung von Dateien Indexaktualisierungen kommen können, wenn die Dateien indiziert sind, und Überprüfungen, wenn sie geschützt sind.
    A["Massenerzeugung von Dateien"] --> B["Die eigenen Schreibvorgänge der App"]
    A -.-> C["Indexaktualisierung, falls indiziert"]
    A -.-> D["Überprüfung, falls geschützt"]
    B --> E["Können am selben Ziel konkurrieren"]
    C --> E
    D --> E

Abbildung 4: Die gestrichelte Arbeit tritt nicht unbedingt jedes Mal auf; das sind die zu untersuchenden Kandidatenbeziehungen.

5. SysMain: Belassen und nur bei Verdacht vorübergehend vergleichen

In Microsofts Diensteliste ist SysMain der Dienst, dessen Zweck der Erhalt und die Verbesserung der Systemleistung ist. Dieses Dokument ordnet ihn der Kategorie zu, die nicht deaktiviert werden soll. Beachten Sie jedoch, dass das Dokument Windows IoT Enterprise behandelt; es ist keine gemessene Garantie, dass „jeder gewöhnliche Windows-11-PC auf jeden Fall schneller wird“.¹

Dieser Artikel empfiehlt nicht, den Starttyp allein aufgrund einer Anzeige von 100 % Datenträger auf Deaktiviert zu setzen. Sinkt die Zahl unmittelbar nach dem Anhalten des Dienstes, kann das schlicht heißen, dass weniger Hintergrundarbeit läuft. Schauen Sie weiter, ob sich Startzeiten von Apps und Ihre alltägliche Arbeit tatsächlich verbessert haben.

Klappen Sie im Task-Manager die Gruppe Diensthost auf, um den Zusammenhang zu prüfen, und führen Sie nur dann als Administrator einen kurzen Vergleich aus, wenn Sie Material erhalten, das SysMain belastet. Zeichnen Sie vor dem Anhalten Status und Starttyp von SysMain in services.msc auf. Ein Dienst vorübergehend anzuhalten und ihn so zu konfigurieren, dass er beim nächsten Mal nicht startet, sind verschiedene Vorgänge.⁷⁸

flowchart TB
    accTitle: Der Unterschied zwischen einem vorübergehenden SysMain-Vergleich und dauerhafter Deaktivierung
    accDescr: In dieser Untersuchung wird der laufende Dienst vorübergehend angehalten und wiederhergestellt, getrennt von einer dauerhaften Änderung der Starteinstellung.
    A["Den Zusammenhang mit SysMain prüfen"] --> B["Den Ausgangszustand aufzeichnen"]
    B --> C["Falls ausgeführt, vorübergehend anhalten"]
    C --> D["Denselben Vorgang vergleichen"]
    D --> E["Neu starten und bestätigen"]
    B -.-> F["Die Starteinstellung unangetastet lassen"]

Abbildung 5: Verwechseln Sie „anhalten und den Unterschied sehen“ nicht mit „dauerhaft deaktiviert lassen“.

Für Administratoren: Einen 90-Sekunden-Vergleich und die Wiederherstellung als einen Schritt

Das folgende Beispiel läuft als ganzer Block in Windows PowerShell 5.1, das als Administrator geöffnet wurde. Es zielt nur auf ein SysMain, das bereits ausgeführt wurde, und in den 90 Sekunden nach dem Anhalten versuchen Sie dieselbe Aufgabe in einem anderen Fenster. Es ändert den Starttyp nicht.

# Den gesamten Block in Windows PowerShell 5.1 als Administrator ausführen.
$service = Get-Service -Name SysMain -ErrorAction Stop
if ($service.Status -ne 'Running') {
    throw 'SysMain wird nicht ausgeführt. Beenden ohne Änderung der aktuellen Einstellungen.'
}

try {
    Stop-Service -Name SysMain -ErrorAction Stop
    $service.WaitForStatus('Stopped', [TimeSpan]::FromSeconds(30))
    Write-Host 'Vergleichen Sie 90 Sekunden lang denselben Vorgang in einem anderen Fenster.'
    Start-Sleep -Seconds 90
}
finally {
    Start-Service -Name SysMain -ErrorAction Stop
    $service.WaitForStatus('Running', [TimeSpan]::FromSeconds(30))
    Get-Service -Name SysMain | Select-Object Name, Status
}

finally ist dazu da, die Wiederherstellung beim normalen Ende oder bei einer Ausnahme zu versuchen. Es garantiert die Wiederherstellung nicht, wenn das PowerShell-Fenster zwangsweise geschlossen, der Prozess beendet oder der Strom unterbrochen wird. Wurde der Lauf unterbrochen, prüfen Sie den Status in services.msc, und starten Sie SysMain, wenn der mit diesem Verfahren angehaltene Dienst noch angehalten ist. Scheitert die Wiederherstellung, belassen Sie es nicht dabei; sprechen Sie mit der Administration.⁹

flowchart TB
    accTitle: Prüfungen beim Beenden des Tests mit vorübergehendem Anhalten
    accDescr: Normalerweise versucht finally den Neustart; nach einem erzwungenen Abbruch oder einem fehlgeschlagenen Neustart den Status in der Dienstkonsole prüfen.
    A["Den Vergleich beenden"] --> B{"Wurde der Neustart bestätigt?"}
    B -->|"Ja"| C["Im Ausgangszustand erneut vergleichen"]
    B -->|"Nein"| D["In der Dienstkonsole prüfen"]
    D --> E["Starten oder die Administration fragen"]

Abbildung 6: Auch bei Code, der automatisch wiederherstellt, überspringen Sie die abschließende Statusprüfung nicht.

6. Windows Search: Vor dem Anhalten klären, „was will ich suchen?“

Der Windows-Search-Index ist ein Mechanismus, um Dateinamen, Inhalte und mehr schnell zu finden. Während der Index aufgebaut oder aktualisiert wird, fällt Arbeit an, aber das ist zugleich die Vorbereitung, die die Suche schnell macht.²

Öffnen Sie unter Windows 11 Einstellungen → Datenschutz und Sicherheit → Windows durchsuchen und prüfen Sie den Fortschritt der Indizierung und den Suchbereich. Weichen die Namen auf Ihrem Build ab, suchen Sie in den Einstellungen nach „Index“. Sind sehr viele Dateien enthalten, die Sie nie verwenden, können Sie den Bereich über Ausgeschlossene Ordner oder über Ändern unter Indizierungsoptionen eingrenzen.¹⁰

Beispielsweise sind node_modules und Build-Ausgaben auf einem Entwicklungs-PC Kandidaten für eine Überprüfung, wenn Sie sie über die Windows-Suche nicht finden müssen. Das ist jedoch keine Empfehlung, alles pauschal nach Ordnernamen auszuschließen. Überlegen Sie zuerst, ob es hinnehmbar ist, dass der Inhalt eines aus der Suche entfernten Orts nicht mehr so gefunden werden kann wie zuvor. Zeichnen Sie den Bereich vor der Änderung auf, können Sie zurückgehen, wenn die Suche zum Problem wird.

„Ausschluss aus der Suche“ hier ist etwas anderes als der später beschriebene „Ausschluss aus dem Schutz von Defender“. Ändern Sie nicht beide Einstellungen auf einmal.¹¹³

flowchart TB
    accTitle: Die Entscheidung, den Suchbereich einzugrenzen
    accDescr: Prüfen, welche Ordner indiziert sind, und den Bereich danach überdenken, ob dieser Ort über die Windows-Suche gefunden werden muss.
    A["Die indizierten Orte prüfen"] --> B{"Für die Suche nötig?"}
    B -->|"Nötig"| C["Indiziert lassen"]
    B -->|"Nicht nötig"| D["Aufzeichnen, dann den Bereich überdenken"]
    D --> E["Last und Suchergebnisse prüfen"]

Abbildung 7: Bevor Sie die Suchfunktion insgesamt anhalten, erwägen Sie, ob sich die Menge der vorbereiteten Informationen verringern lässt.

Den Neuaufbau nicht als Reparaturknopf behandeln, den man einfach mal drückt

Der Neuaufbau des Index erstellt den Index von Grund auf neu. Läuft bereits ein Aufbau, beginnt diese Arbeit von vorn. Microsoft rät, für einen Neuaufbau bis zu etwa 24 Stunden einzuplanen, und die Suchergebnisse können währenddessen unvollständig sein.¹⁰

Einen Neuaufbau immer wieder nur deshalb auszuführen, weil der Datenträger beschäftigt ist, ist daher nicht empfehlenswert. Prüfen Sie zuerst Fortschritt und Fehler und führen Sie einen Neuaufbau aus, wenn er wirklich nötig ist, etwa nach einer Anpassung des Bereichs oder wenn die Suchergebnisse falsch sind. Führen Sie einen aus, schließen Sie den PC an, räumen Sie genug Zeit ein, bis die Arbeit fertig ist, und unterscheiden Sie die Last während des Neuaufbaus von der Last im Dauerbetrieb.

flowchart TB
    accTitle: Während und nach einem Index-Neuaufbau trennen
    accDescr: Ein Neuaufbau bringt die Last der Neuerstellung des Index und eine vorübergehende Lücke in den Suchergebnissen mit sich; die Wirkung nach Abschluss beurteilen.
    A["Den Bedarf bestätigen, dann neu aufbauen"] --> B["Zeitraum der Neuerstellung des Index"]
    B --> C["Auf den Abschluss warten"]
    C --> D["Suchergebnisse und Last prüfen"]

Abbildung 8: Beurteilen Sie nicht anhand der Beschäftigung direkt nach dem Start eines Neuaufbaus, ob die Maßnahme gewirkt hat.

7. Defender: Klären, „was überprüft wird“, ohne den Schutz auszuschalten

Auch wenn Antimalware Service Executable oder MsMpEng.exe auffällt, ist es nicht empfehlenswert, den Echtzeitschutz als alltägliche Beschleunigungsmaßnahme auszuschalten. Solange der Schutz deaktiviert ist, können geöffnete oder heruntergeladene Dateien nicht mehr wie üblich überprüft werden. Sinkt die Datenträgerzahl, haben Sie aber eine benötigte Funktion verloren, ist es unter denselben Bedingungen nicht schneller geworden.³

Für die Untersuchung nutzbar ist das Leistungsanalyseprogramm für Microsoft Defender Antivirus. Es zeichnet Überprüfungen auf und berichtet Dateien, deren Überprüfung lange dauerte, sowie die zugehörigen Prozesse. Es ist kein Werkzeug, das die gesamte Datenträgerlatenz des PCs misst. Sein Zweck ist, es mit dem langsamen Zeitraum aus dem Ressourcenmonitor zu kombinieren und zu klären, ob Defenders Überprüfung beteiligt ist.⁶

flowchart TB
    accTitle: Die Last von Defender bei eingeschaltetem Schutz untersuchen
    accDescr: Den Echtzeitschutz eingeschaltet lassen, die langsamen Vorgänge aufzeichnen und den Scanbericht mit den Vorgangszeiten abgleichen.
    A["Echtzeitschutz eingeschaltet lassen"] --> B["Die langsamen Vorgänge aufzeichnen"]
    B --> C["Bericht der Überprüfungszeiten"]
    C --> D["Mit den tatsächlichen Wartezeiten abgleichen"]
    D --> E["Auch Dateierzeugung und Ähnliches untersuchen"]

Abbildung 9: Statt eine Sicherheitsfunktion zu entfernen, um eine Zahl zu senken, betrachten Sie, woraus die Last besteht.

Für Administratoren: Eine Aufzeichnung machen und die oberen Einträge ansehen

Die offiziellen Voraussetzungen sind Windows 10 oder höher und die Defender-Plattform 4.18.2108.X oder höher. Administratorrechte sind erforderlich. Nutzen Sie ein anderes Sicherheitsprodukt oder schränkt die Organisationsverwaltung die Funktion ein, erzwingen Sie dieses Verfahren nicht; klären Sie es mit der Administration oder dem Supportkanal des Produkts.¹²

Das Folgende läuft in Windows PowerShell 5.1, das als Administrator geöffnet wurde. Sobald die Aufzeichnung startet, reproduzieren Sie den Problemvorgang in einem anderen Fenster und beenden Sie nach der Aufforderung auf der Aufzeichnungsseite mit Enter. Bei einem alltäglichen Problem grenzen Sie auf ein kurzes Reproduktionsfenster ein, statt lange aufzuzeichnen.⁶

# In Windows PowerShell 5.1 als Administrator ausführen.
Get-Command New-MpPerformanceRecording, Get-MpPerformanceReport -ErrorAction Stop |
    Select-Object Name, Source

# Einen eindeutigen Namen verwenden, damit eine vorhandene Aufzeichnung nicht überschrieben wird.
$trace = Join-Path $env:TEMP ('Defender-' + [guid]::NewGuid().ToString('N') + '.etl')
Write-Host "Aufzeichnung nach: $trace"
New-MpPerformanceRecording -RecordTo $trace -ErrorAction Stop

# Den Bericht lesen, nachdem die Aufzeichnung beendet wurde.
Get-MpPerformanceReport -Path $trace -TopFiles 10 -TopProcesses 10 -ErrorAction Stop

Was hier oben erscheint, sind die Einträge mit dem größten Einfluss auf die Überprüfung im aufgezeichneten Zeitraum. Es bedeutet nicht „die oberen 10 ausschließen und es wird sicher schneller“. Auch Microsoft positioniert dieses Analyseprogramm nicht als Werkzeug, das Ausschlüsse vorschlägt.¹²

Klären Sie zuerst, was diese Datei immer wieder neu erzeugt, ob dieselbe Arbeit verdoppelt wird und ob sich auf der App-Seite etwas anpassen lässt. Ist ein Ausschluss wirklich nötig, entscheidet eine Administration, die den Wirkungsbereich und die Verringerung des Schutzes versteht, von Fall zu Fall. Schließen Sie nicht das gesamte C: oder das gesamte Benutzerprofil allein auf Grundlage des Verfahrens in diesem Artikel aus. Die Aufzeichnung enthält Dateipfade und Prozessinformationen; prüfen Sie daher den Umgang mit vertraulichen Informationen, bevor Sie sie nach außen geben.

flowchart TB
    accTitle: Die Untersuchungsreihenfolge aus dem Analysebericht
    accDescr: Die oberen Einträge nach Scanlast sind der Einstieg der Untersuchung; Herkunft und Häufigkeit prüfen, bevor Maßnahmen erwogen werden.
    A["Obere Einträge im Bericht"] --> B["Herkunft und Häufigkeit prüfen"]
    B --> C["Verbesserungen auf der App-Seite erwägen"]
    C --> D["Falls nötig, fallweise mit der Administration entscheiden"]
    A -.-> E["Nicht unverändert zur Ausschlussliste machen"]

Abbildung 10: Der Bericht ist Material für die Ursachenuntersuchung, keine Liste von Dateien, die man gefahrlos aus dem Schutz nehmen darf.

8. Über die drei hinausblicken: Speicher und Zustand des Speichermediums

Wird es langsam, wenn viele Apps geöffnet sind, prüfen Sie im Task-Manager auch den Speicher. „Hard Faults“, bei denen nicht im Speicher befindliche Seiten vom Speichermedium zurückgelesen werden, können zunehmen, aber das bedeutet keinen physischen Datenträgerausfall. Die Quelle des Zurücklesens ist nicht nur die Auslagerungsdatei; es können ausführbare Dateien, speicherabgebildete Dateien und anderes sein. Der Wert allein beweist auch keinen Speichermangel.¹³

„Verbessern sich Datenträgerwartezeit und Vorgang gemeinsam, wenn ich unnötige Apps schließe?“ lohnt den Vergleich. Die Auslagerungsdatei zu deaktivieren, um die Lese- und Schreibvorgänge zu beseitigen, ist dagegen nicht empfehlenswert. Das senkt die Obergrenze des committbaren Speichers und kann andere Fehler und Instabilität nach sich ziehen.¹⁴

flowchart TB
    accTitle: Wie Hard Faults zu lesen sind
    accDescr: Ein Hard Fault liest eine Seite, die nicht im Speicher liegt, vom Datenträger; er ist keine Kennzahl, die für sich einen physischen Ausfall oder Speichermangel belegt.
    A["Benötigte Seite ist nicht im Speicher"] --> B["Aus einer Datei zurücklesen"]
    B --> C["Datenträger-E/A entsteht"]
    C --> D["Speichernutzung und Vorgang vergleichen"]
    B -.-> E["Bedeutet keinen physischen Ausfall"]

Abbildung 11: Springen Sie nicht allein wegen des Namens „Hard Fault“ auf einen Ausfall oder ein Problem mit der Auslagerungsdatei.

Gibt es außerdem Lese-/Schreibfehler, eine kritische Warnung zum Speichermedium oder plötzliche Trennungen, sichern Sie zuerst Ihre wichtigen Daten, noch vor dem Anpassen von Diensten. Auch bei Windows-Speicherwarnungen verweist Microsoft zuerst auf die Sicherung. Dass keine sichtbare Warnung vorliegt, garantiert nicht, dass jeder Datenträger gesund ist.¹⁵

Prüfen Sie nach der Sicherung die Diagnosen des PC- oder Speicherherstellers sowie Treiber- und Firmwareangaben zum konkreten Modell. Stellen Sie pauschale Registrierungsänderungen aus alten Artikeln nicht ohne Prüfung von Modell und geltenden Bedingungen davor. Beispielsweise ist eines der bekannten SysMain-Probleme von Microsoft auf bestimmte Bedingungen unter Windows 7 beschränkt. Das Aktualisierungsdatum des Dokuments allein reicht nicht, um zu urteilen, dass es für heutiges Windows 11 gilt.¹⁶

flowchart TB
    accTitle: Prioritäten bei einer Warnung zum Speichermedium
    accDescr: Bei einer kritischen Warnung oder Lese-/Schreibfehlern Sicherung und modellgerechte Diagnose vor der Optimierung von Einstellungen vorrangig behandeln.
    A["Warnung oder Lese-/Schreibfehler"] --> B["Wichtige Daten sichern"]
    B --> C["Die Diagnosen des Herstellers prüfen"]
    C --> D["Reparieren oder Maßnahmen gemäß den geltenden Bedingungen"]

Abbildung 12: Bei Anzeichen eines Ausfalls kommt der Schutz der Daten vor dem Senken eines Prozentwerts.

9. „Behoben“ anhand der ursprünglichen Arbeit beurteilen, nicht anhand des Prozentwerts

Beurteilen Sie, ob eine Maßnahme gewirkt hat, anhand des Vorgangs, der Sie ursprünglich behindert hat. Vergleichen Sie Ergebnisse wie „der App-Start wartet nicht mehr“, „die Kopie läuft normal durch“ und „das Tippen stockt nicht mehr“ mit dem Zustand vor der Änderung. Werden die Phasen mit 100 % Datenträger kürzer, erklären Sie die Sache nicht für erledigt, solange Suchergebnisse nicht mehr aktualisiert werden oder der Schutz angehalten bleibt.

Für den Vergleich richten Sie denselben Vorgang, dasselbe Ziel und möglichst denselben Hintergrundzustand aus. Bei einem vorübergehenden Vergleich wie bei SysMain fällt es leichter, die Möglichkeit zu bemerken, dass die Arbeit einfach mit der Zeit fertig wurde, wenn Sie in der Reihenfolge Ausgangszustand → angehalten → Ausgangszustand prüfen. Weil der zweite Lauf Unterschiede wie einen warmen Cache hat, gilt ein einzelner Vergleich dennoch nicht als Nachweis der Ursächlichkeit.

Das ist der Untersuchungsansatz, den dieser Artikel vorschlägt. Statt Einstellungen zu sammeln, die eine Zahl senken, ist es bei einem Wiederauftreten nützlicher aufzuzeichnen, welche Änderung den ursprünglichen Vorgang verbessert hat, während die benötigten Funktionen erhalten blieben.

flowchart TB
    accTitle: Entscheiden, dass die Maßnahme abgeschlossen ist
    accDescr: Zusätzlich zur Verbesserung des ursprünglichen Vorgangs den Zustand von Suche, Schutz und Diensten prüfen, bevor die Maßnahme abgeschlossen wird.
    A["Den ursprünglichen Vorgang erneut ausführen"] --> B["Hat sich die Wartezeit verbessert?"]
    B --> C["Blieben Suche und Schutz erhalten?"]
    C --> D["Wurden vorübergehende Änderungen zurückgenommen?"]
    D --> E["Bedingungen und Ergebnisse aufzeichnen und abschließen"]

Abbildung 13: Beurteilen Sie danach, ob die benötigte Arbeit und die Funktionen insgesamt wiederhergestellt sind, nicht nach der Datenträgerzahl.

Zusammenfassung

Für 100 % Datenträger gibt es kein Allzweckverfahren, das SysMain, Windows Search und Defender gemeinsam anhält. Prüfen Sie zuerst den Zeitraum, den betroffenen Datenträger, die Dateien und die Antwortzeit. Darauf aufbauend ist der Ausgangspunkt, sie zu trennen: für SysMain nur bei Bedarf ein vorübergehender Vergleich, für Search eine Prüfung des Suchbereichs und für Defender eine Analyse bei eingeschaltetem Schutz.

Tritt bei einer geschäftlichen Windows-App wiederholt auf, dass „nur ein bestimmter Vorgang langsam ist“ oder „nur die PCs in der Werkstatt einfrieren“, können Sie das auch in die technische Beratung von KomuraSoft einbringen. Zeitpunkt des Auftretens, Reproduktionsschritte, beteiligte Dateitypen und Aufzeichnungen vor und nach der Änderung machen den Einstieg der Untersuchung konkret. Beim Teilen von Protokollen oder Aufzeichnungen prüfen Sie, dass keine vertraulichen Informationen enthalten sind.

Quellen

Verwandte Artikel

Aktuelle Artikel mit denselben Schlagwörtern führen zu verwandten Themen weiter.

Verwandte Themen

Diese Seiten ordnen den Artikel in einen größeren Leistungs- und Entscheidungskontext ein.

Häufige Fragen

Fragen, die in Beratungen zu diesem Artikelthema häufig gestellt werden.

Warum steht die Datenträgerauslastung bei 100 %, obwohl nur wenige MB/s übertragen werden?

Weil die aktive Zeit des Datenträgers und die pro Sekunde übertragenen Bytes getrennte Kennzahlen sind. Kleine Lese- und Schreibvorgänge sowie Wartezeiten bei der E/A halten den Datenträger beschäftigt, auch wenn das Transfervolumen gering ist. Prüfen Sie die Antwortzeit des betroffenen Datenträgers und ob die langsamen Vorgänge zur selben Zeit auftreten.

Wird der PC immer schneller, wenn man SysMain deaktiviert?

Nicht unbedingt. Belassen Sie zunächst die normalen Einstellungen und vergleichen Sie nur bei Verdacht auf einen Zusammenhang mit SysMain nach Aufzeichnen des Ausgangszustands ein vorübergehendes Anhalten mit dem Neustart. Eine dauerhafte Deaktivierung sollten Sie nicht allein auf diesen Vergleich stützen.

Darf man Windows Search anhalten?

Das wirkt sich auf die Geschwindigkeit indexabhängiger Suchen und auf die Aktualisierung der Ergebnisse aus, deshalb ist es keine erste Maßnahme. Prüfen Sie den Fortschritt der Indizierung und erwägen Sie zuerst, den Bereich einzugrenzen, wenn Ordner enthalten sind, die Sie nicht durchsuchen.

Darf man Defender ausschalten, um die Datenträgerauslastung zu senken?

Den Echtzeitschutz als alltägliche Beschleunigungsmaßnahme auszuschalten, ist nicht empfehlenswert. Zeichnen Sie die Scanlast mit dem Leistungsanalyseprogramm für Microsoft Defender Antivirus auf und klären Sie, welche Dateien und Prozesse beteiligt sind. Auch die oberen Einträge des Berichts dürfen Sie nicht unverändert in die Ausschlusseinstellungen übernehmen.

Autorenprofil

Profilseite des Artikelautors.

Go Komura

Geschäftsführer von KomuraSoft LLC

Spezialisiert auf Windows-Softwareentwicklung, technische Beratung und Fehleranalyse, insbesondere bei bestehenden Systemen und schwer reproduzierbaren Störungen.