Was ist lsass.exe und warum frisst es meinen RAM?

Der Prozess „lsass.exe“ ist entscheidend für das ordnungsgemäße Funktionieren von Windows und sollte in keiner Weise geändert werden. Es ist jedoch bekannt, dass Malware legitime Dateien infiziert und sogar darin gedeiht oder sich als das Original ausgibt, um Benutzer dazu zu bringen, die Ausführung zuzulassen. Dieser Artikel beschreibt die Funktion des Prozesses „Isass.exe“ und zeigt Ihnen, wie Sie überprüfen können, ob ein Virus ihn infiziert hat oder nicht.

Was ist lsass.exe und was macht es?

„lsass.exe“ ist eine sichere Datei in Windows, die eine wichtige Rolle im täglichen Betrieb Ihres PCs spielt. Es wird verwendet, um Sicherheitsrichtlinien durchzusetzen und hat mit Passwortänderungen und Login-Verifizierungen zu tun. „lsass.exe“ speichert Anmeldeinformationen im Arbeitsspeicher, um eine einmalige Anmeldung zu ermöglichen, bei der der Benutzer die Anmeldeinformationen für Dienste innerhalb der Domäne nicht erneut eingeben muss.

Dieser Dienst ist auch auf Domänencontroller-Computern (Servern, die für die Verwaltung von Netzwerken verantwortlich sind) aktiv. Auf Servercomputern ist lsass.exe dafür verantwortlich, Tausende von Kennwörtern und IDs zu speichern und den Ressourcenzugriff zu überwachen. Als Ergebnis werden Sie feststellen, dass der Prozess mehr CPU-, RAM- und E/A-Ressourcen auf einem Domänencontroller-Computer verwendet.

Trotzdem sollten Sie auf einem Computer, der kein Domänencontroller ist, keine so großen Auswirkungen feststellen. Daher stimmt etwas nicht, wenn der Prozess immer noch zu viel RAM auf Ihrem Computer verwendet. Das häufigste Szenario wäre, dass der vermeintliche Prozess lsass.exe nicht das ist, was er auf den ersten Blick zu sein scheint, in diesem Fall ist die Wahrscheinlichkeit, dass Sie sich einen Virus eingefangen haben, relativ hoch.

Malware benennt die Datei häufig in etwas Ähnliches um, um Sie glauben zu machen, dass „lsass.exe“ kein Virus ist. Glücklicherweise gibt es Möglichkeiten, einen echten Windows-Prozess von einem Duplikat zu unterscheiden.

Wenn Sie befürchten, dass Viren Ihren PC übernehmen, sehen Sie sich diese Liste mit weiteren echten Windows-Prozessen an, die wie Malware aussehen können.

1. Überprüfen Sie die Rechtschreibung

Ein bösartiger „lsass.exe“-Prozess verwendet möglicherweise ein großes „i“ (I), während der echte Prozess ein kleines „L“ (l) verwendet. Namen können ähnlich erscheinen, je nachdem, wie Ihr Computer sie anzeigt, was es leicht macht, einen mit dem anderen zu verwechseln.

Sie können überprüfen, ob der Dateiname falsch ist, indem Sie ein Case Converter-Tool verwenden, wie es beispielsweise von Microsoft Word angeboten wird.

1. Kopieren Sie den Dateinamen und fügen Sie ihn dann in das Textverarbeitungsprogramm ein.
2. Klicken Sie oben im Menü auf die Schaltfläche „Großschreibung ändern“ und wählen Sie „GROSSBUCHSTABEN“.

Es gibt noch andere Variationen des echten „lsass.exe“-Prozesses, und Sie sollten auch nach ihnen Ausschau halten:

• lsass.exe
• lsassa.exe
• lsasss.exe
• Isassa.exe

2. Zeigen Sie seinen Standort an

Die echte „lsass.exe“-Datei findet sich nur an einer Stelle: „C:\Windows\System32\“. Wenn Sie es woanders finden, ist es mit Sicherheit bösartig und sollte sofort gelöscht werden.

Sie können herausfinden, wo der Prozess ausgeführt wird, wenn Sie ihn im Task-Manager entdecken:

1. Öffnen Sie den Task-Manager, indem Sie Strg + Alt + Entf drücken und auf die entsprechende Schaltfläche klicken.

2. Scrollen Sie unter "Prozesse" nach unten, bis Sie den lsass-Prozess (Local Security Authority Process) finden, klicken Sie mit der rechten Maustaste darauf und wählen Sie "Dateispeicherort öffnen". Dies sollte den Ordner „C:\Windows\System32\“ öffnen.

3. Wenn Sie es nicht sehen können, wechseln Sie auf die Registerkarte „Details“ und suchen Sie dort nach „Isass.exe“. Klicken Sie auf „Speicherort öffnen“.

4. Wiederholen Sie die Anweisungen für jede „lsass.exe“-Datei im Task-Manager. Es sollte nur ein Prozess aufgelistet sein, aber wenn Sie mehr sehen, sind alle bis auf einen gefälscht.

3. Überprüfen Sie die Dateigröße

Da Viren und andere bösartige Software häufig Dateien in Programmgröße verwenden, um Malware zu verbreiten, können Sie feststellen, ob „lsass.exe“ der wahre Dienst ist, indem Sie sich ansehen, wie viel Speicherplatz die Datei einnimmt.

1. Gehen Sie zum Task-Manager und öffnen Sie die Datei „Isass.exe“ an ihrem Speicherort, wie im vorherigen Abschnitt gezeigt.

2. Um die Größe der Datei zu überprüfen, klicken Sie mit der rechten Maustaste darauf und wählen Sie „Eigenschaften“.

3. Die Windows 11-Version der Datei ist 82 KB groß, während die Windows 10-Version 57 KB groß sein sollte. Für diejenigen, die noch Windows 8 verwenden, ist die Datei nur 46 KB groß. Wenn der angezeigte Prozess viel größer ist, z. B. einige Gigabyte oder mehr, handelt es sich sicherlich nicht um eine echte Microsoft-Datei.

Häufig gestellte Fragen

Wie kann ich Probleme mit der hohen RAM-Nutzung von lsass.exe beheben?

Wenn die echte „lsass.exe“-Datei anscheinend viele RAM-Ressourcen verbraucht, sollten Sie Folgendes versuchen:

• Führen Sie einen Antivirus-Scan durch
• Verwenden Sie DISM- und SFC-Befehle in PowerShell (Admin)
• Aktualisieren Sie Windows
• Führen Sie eine Systemwiederherstellung durch
• Löschen Sie die Virendatei „Isass.exe“.

Gefällt Ihnen die Idee, ein Antivirenprogramm eines Drittanbieters auf Ihrem PC zu installieren, nicht? Mit dem in Windows integrierten Defender müssen Sie das nicht.

Wie entferne ich den lsass.exe-Virus?

Gehen Sie zuerst zum Task-Manager. Wählen Sie auf der Registerkarte „Prozesse“ die potenziell bösartige „lsass.exe“ aus und klicken Sie auf „Standort öffnen“. Wenn der Vorgang nicht sichtbar ist, wechseln Sie auf die Registerkarte „Details“.

Gehen Sie als Nächstes zurück zum „Task-Manager“, klicken Sie mit der rechten Maustaste auf den Prozess „lsass.exe“ und wählen Sie „Task beenden“, gehen Sie dann zurück zum Speicherort der Datei „lsass.exe“ und löschen Sie sie.

Warum ist es keine gute Idee, den echten lsass.exe-Prozess zu deaktivieren?

Durch das Starten von lsass.exe werden andere Dienste darüber informiert, dass der Security Accounts Manager (SAM) bereit ist, Anfragen zu empfangen. Das Deaktivieren dieses Prozesses bedeutet, dass Systemdienste keine Benachrichtigungen erhalten, wenn SAM bereit ist, was dazu führen kann, dass sie nicht ordnungsgemäß starten.

Unsplash. Alle Screenshots von Farhad Pashaei.