Datei Svchost.exe: was sie macht und wie man Ihre Fehlermeldungen analysiert

Was ist Svchost.exe?

Svchost.exe ist ein allgemeiner Hostprozessname für Dienste, die mit Hilfe von Dynamic-Link Libraries (sogenannten DLL-Dateien) ausgeführt werden. Dienste sind ab Windows 2000 Funktionen, die gewisse Fähigkeiten von Windows bereitstellen. So ist z.B. die automatische Erkennung von USB-Geräten ein Dienst oder auch für Druck-Funktionen wird ein spezieller Dienst benötigt. Dienste können gestartet oder gestoppt werden. Svchost.exe gibt es erst ab Windows 2000. Längst nicht alle Dienste benötigen Svchost.exe (eben nur solche, die per DLL-Dateien ausgeführt werden müssen). Das Betriebssystem startet Svchost-Sessions sobald es solche benötigt und beendet sie auch wieder, sobald einer nicht mehr gebraucht wird.

Svchost.exe ist eine Art Ober-Dienst oder die Zusammenfassung von Einzel-Diensten, die mit Hilfe von DLLs ausgeführt werden. Da in Windows meist viele Dienste laufen, können mehrere Instanzen von Svchost.exe gleichzeitig ausgeführt werden. Jede Svchost.exe-Sitzung kann eine eigene Gruppe von Diensten enthalten, so dass in Abhängigkeit davon, wie und wo Svchost.exe gestartet wird, verschiedene Dienste ausgeführt werden können.

Wo befindet sich Svchost.exe?

Die ausführbare Datei Svchost.exe befindet sich im Ordner %SystemRoot%\System32 (also meist in C:\Windows\System32 oder C:\Winnt\System32) und als Reserve in in %SystemRoot%\dllcache (meist C:\Windows\dllcache oder C:\Winnt\System32). Die Datei in %SystemRoot%\System32 kann im normalen Betrieb nicht überschrieben oder gelöscht werden, weil Svchost.exe in jedem Fall unter Windows mindestens einmal gestartet ist.

Was macht Svchost.exe?

Beim Start von Windows überprüft Svchost.exe den auf Dienste bezogenen Abschnitt der Registry [1] , um eine Liste von Diensten zusammenzustellen, die geladen werden müssen. Die Registry gibt also bereits beim Start vor, was Svchost.exe später im System treibt. Nochmals zur Erinnerung:

Jede Svchost.exe-Sitzung kann eine eigene Gruppe von Diensten enthalten, so dass in Abhängigkeit davon, wie und wo Svchost.exe gestartet wird, verschiedene Dienste ausgeführt werden können. Svchost.exe-Gruppen sind im folgenden Registrierungsschlüssel angegeben:HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Svchost

Jeder Wert unter diesem Schlüssel repräsentiert eine eigene Svchost-Gruppe und wird als separate Instanz (Prozess) angezeigt, wenn Sie z.B. mit dem Task-Manager aktive Prozesse einsehen:Die Registry-Einträge enthalten die Dienste, die unter der jeweiligen Svchost-Gruppe ausgeführt werden. Jede Svchost-Gruppe kann (muss aber nicht!) einen oder mehrere Dienstnamen (service_names) enthalten, die aus dem folgenden Registrierungsschlüssel HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Service, dessen Schlüssel "Parameters" einen Wert des Typs "ServiceDLL" beinhaltet, extrahiert werden. Ist keine Svchost-Gruppe vorhanden, die mehrere Dienstnamen enthält, existiert auch der Registry-Eintrag nicht.

Herausfinden, welche Svchost-Dienste genau laufen

Sie können genau nachforschen, welche Svchost-Dienste aktiv sind. Laden Sie sich das Programm Process Viewer [2] herunter und installieren es. Laden Sie sich zudem das Programm Tlist.exe [3] herunter und legen es in einem Ordner ab.

Nun starten Sie einmal den Task-Manager (gleichzeitiges Drücken der Tasten CTRL, ALT und DEL) und schauen im Reiter "Prozesse" nach, wieviel mal die Datei svchost.exe erscheint. In unserem Beispiel sind es vier Instanzen:Mehr Infos bringt der Task-Manager nicht ans Licht. Starten Sie darum das Programm "Process Viewer". Auch er sollte (in unserem Beispiel) vier Instanzen von svchost.exe finden:Rechtsklicken Sie auf einen der Svchost-Einträge und wählen im Kontext-Menü "Startup Info". In unserem Beispiel wird immer die Datei svchost.exe angegeben und nach einem Strich viermal ein anderer Name eingeblendet. Hier sind es "rpcss", "netsvcs", "wugroup" und "BITSgroup". Genau diese Namen werden Sie in unserem Beispiel auch in der Registry finden und zwar wie oben erwähnt unter HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Svchost:[5m]Dies ist auch nicht weiter erstaunlich, wird doch genau dort svchost.exe mitgeteilt, was gestartet werden muss. Sie können auch noch anders überprüfen, wieviele Instanzen von Svchost.exe laufen und welche Dienst Svchost bedient. Geben Sie im Feld Öffnen von "Start/Ausführen" den Befehl "cmd" ein. Damit starten Sie eine MS-DOS-Kommandozeile. Navigieren Sie nun zum Ordner, wo Sie die Datei "Tlist.exe" abgelegt haben. Starten Sie Tlist.exe mit der Eingabe "tlist" in der DOS-Kommandozeile - damit werden alle momentan aktiven Prozesse angezeigt. In unserem Beispiel sollten vier Svchost-Instanzen angezeigt werden - und dies ist auch der Fall:[6m]Jetzt gehen wir mit Tlist noch ein wenig mehr ins Detail und wollen die einzelnen Dienste der jeweiligen Prozesse sehen. Geben Sie dazu "tlist -s" ein. Sie werden wieder die Namen "rpcss", "netsvcs", "wugroup" und "BITSgroup" finden, diesmal allerdings noch genauere Angaben:[7m]Der erste Svchost-Prozess enthält den Dienst "RpcsSs". Im zweiten Svchost-Prozess sehen Sie auf einen Schlag die Dienste "EventSystem", "Netman", "NtmsSvc", "RasMan", "SENS", "TapiSrv" gebündelt. Im dritten sehen Sie den Dienst "wuauserv" und im vierten den Dienst "BITS".

Was bringt die Analyse von Svchost.exe?

Mit den oben erklärten Anaylsevorgaben sind Sie gerüstet, Svchost-Fehlermeldungen auf den Grund zu gehen. Die Registry-Einträge weisen vielleicht auf ein Programm hin, das nicht richtig installiert wurde. Sie werden jetzt sicher auch verstehen, warum es für Svchost-Abstürze kein Universal-Rezept gibt. Durch die Komplexität des Svchost-Dienstes kann das Problem in jeder Svchost-Instanz und den damit verbundenen Diensten liegen. Zum Glück bringt Windows 2000 eine bequeme Ereignisanzeige mit, in der jeder Fehlstart eines Dienstes genau verzeichnet ist. Geben Sie über "Start/Ausführen" den Befehl "eventvwr" ein. Die Ereignisanzeig startet:Schauen Sie sich nun die Aufzeichnungen unter Anwendungsprotokoll und Systemprotokoll an. Die aufgezeichnete Fehlermeldung im Zusammenhang mit svchost.exe sind hier festgehalten und geben Ihnen unter Umständen Aufschluss über die Ursache des Absturzes.

Häufige Ursachen für Svchost.exe-Abstürze in letzter Zeit

Im Zusammenhang mit dem kürzlich aufgetauchten Blaster-Wurm [4] kam es auch immer wieder zu Abstürzen von Svchost.exe, vor allem unter Windows 2000, wie z.B. Computer Associates im Zusammenhang mit dem Win32.Ponza-Wurm schreibt [5] . Auch auf der Symantec-Support-Seite [6] oder bei NOD32 [7] finden Sie mit dem Stichwort svchost.exe einige Artikel - viele haben einen Zusammenhang mit dem Blaster-Wurm.

Generelle Tipps im Zusammenhang mit Svchost.exe-Abstürzen

[8][9][10][11]Versuchen Sie auf jeden Fall das neuste Service Pack für Windows 2000 aufzuspielen, zurzeit das SP 4 . Behebt das Service Pack das Problem, haben Sie viel Zeit gespart. Zusätzlich überprüfen Sie Ihr System auf eine mögliche Blaster-Verschmutzung. Dies ist vor allem dann sehr dringlich, wenn die Svchost-Fehler erst immer dann erscheinen, wenn Sie Zugang zum Internet haben. Dann sollten alle Alarmglocken läuten. Untersuchen Sie Ihr System auf weitere Svchost.exe-Dateien. Finden Sie sie in anderen Orten vor, als weiter oben beschrieben, liegt der Verdacht nahe, dass es sich dabei um einen Trojaner handelt. Prüfen Sie Ihr System mit Ad-Aware oder Spybot . Eine weitere Option zum Beheben des Svchost-Absturzes ist das Aktivieren der Startprotokollierung. Dies machen Sie, wenn Sie beim Start von Windows 2000 die Taste F8 drücken und Windows mittels Startprotokollierung aktivieren starten. Windows 2000 zeichnet dann im Ordner "%System%" (meist C:\Windows oder C:\Winnt) in der Datei ntbtlog.txt alle Dienste und Treiber auf, die während dem Startvorgang geladen wurden (oder eben nicht):Hilft Ihnen dies beim Ermitteln des Svchost-Absturzes nicht weiter, weil die Log-Datei zu wenig ausführlich war (viele Fehler passieren in der Registry, welche nicht mitprotokolliert wird), gibt es immer noch die Möglichkeit, mit dem Programm Registry Monitor (Regmon) den Windows-Start protokollieren zu lassen - und zwar mitsamt den Registry-Zugriffen. Denn Regmon überwacht die Registry von Windows bereits beim Hochfahren. Das Programm schreibt alle Ergebnisse in die Datei regmon.log im Windows-Verzeichnis, bis Sie die Überwachung stoppen. Die Meldung "BUFOVERFLOW" in Regmon-Log-Datei bedeutet, dass es einen Fehler beim Zugriff gab. "NOTFOUND" in der Log-Datei bedeutet, dass der Key nicht gefunden wurde. Beide Nachrichten sind heisse Kandidaten für die Fehlersuche.