System auf Malware scannen: Anleitung für einen sauberen Windows-PC

Willst du dein System auf Malware scannen, öffnest du die Windows-Sicherheit, gehst auf Viren- & Bedrohungsschutz → Scanoptionen und wählst Vollständige Überprüfung. Findet dieser Scan nichts, bleiben die Symptome aber, startest du danach die Microsoft Defender Antivirus (Offlineüberprüfung): Sie bootet den PC in eine eigene Umgebung außerhalb des Windows-Kernels und erwischt dort Rootkits und Firmware-Schädlinge, die im laufenden Betrieb unsichtbar bleiben.

Woran du erkennst, dass dein System befallen ist

Nicht jeder langsame Rechner hat einen Virus – meistens steckt ein volles Laufwerk, ein defekter Treiber oder ein Browser mit 60 offenen Tabs dahinter. Für einen echten Malware-Verdacht sprechen mehrere Anzeichen gleichzeitig:

• Plötzliche Leistungseinbrüche: Der PC wird träge, der Lüfter dreht im Leerlauf hoch, und im Task-Manager (Strg+Umschalt+Esc) belegt ein Prozess dauerhaft CPU oder Netzwerk, den du nicht zuordnen kannst. Wichtig: Prüfe im Reiter Details den Pfad des Prozesses über Dateipfad öffnen – Schädlinge tarnen sich gern mit Systemnamen, liegen aber nicht in C:\Windows\System32.
• Werbung und Weiterleitungen: Pop-ups erscheinen außerhalb des Browsers, Startseite oder Suchmaschine ändern sich von allein, neue Symbolleisten und Browser-Erweiterungen tauchen auf.
• Veränderte Schutzeinstellungen: Defender lässt sich nicht mehr starten, Windows Update ist blockiert, oder die Windows-Sicherheit meldet dauerhaft, dass der Echtzeitschutz aus ist. Malware schaltet zuerst den Wächter ab, nicht zuletzt.
• Verschlüsselte Dateien: Dokumente tragen plötzlich eine fremde Endung, dazu liegen Textdateien mit Zahlungsaufforderung in den Ordnern – das ist Ransomware, und hier zählt jede Minute (siehe Abschnitt zur Neuinstallation).
• Unbekannte Programme: Unter Einstellungen → Apps → Installierte Apps oder im Autostart des Task-Managers stehen Einträge, die du nie installiert hast.

Trifft nichts davon zu und der Rechner ist nur langsam, ist ein Vollscan trotzdem kein Fehler – nur ist die Ursache dann meist woanders zu suchen. Trifft mehreres zu, arbeite die folgenden Schritte der Reihe nach ab.

Vorbereitung: drei Schritte vor dem Scan

1. Daten sichern. Kopiere Dokumente, Fotos und Projektdaten auf eine externe Festplatte oder in einen Cloud-Speicher, bevor du irgendetwas entfernst. Geht eine Bereinigung schief oder ist Ransomware aktiv, bleibt deine Kopie unangetastet. Trenne den verdächtigen Rechner für die Sicherung möglichst vom Netzwerk und stecke die Sicherungsplatte nach dem Kopieren wieder ab – Verschlüsselungstrojaner nehmen angeschlossene Laufwerke und Netzlaufwerke mit.

2. Signaturen aktualisieren. Gehe auf Windows-Sicherheit → Viren- & Bedrohungsschutz → Schutzupdates → Nach Updates suchen. Ein Scanner ist nur so gut wie seine Erkennungsdaten. Auf der Kommandozeile geht dasselbe mit MpCmdRun.exe -SignatureUpdate; das Tool liegt laut Microsoft-Dokumentation in C:\Program Files\Windows Defender beziehungsweise in der aktuelleren Fassung unter C:\ProgramData\Microsoft\Windows Defender\Platform\<Plattformversion> und braucht eine Eingabeaufforderung als Administrator.

3. Nur wenn du den Offline-Scan planst: BitLocker aussetzen. Microsoft weist ausdrücklich darauf hin, den BitLocker-Schutz des Systemlaufwerks vorher anzuhalten – sonst fragt der Rechner beim Neustart in die Offline-Umgebung nach dem Wiederherstellungsschlüssel. Wer den nicht griffbereit hat, steht vor einem Rechner, der nicht mehr startet.

System auf Malware scannen mit Microsoft Defender

Microsoft Defender ist in Windows 10 und 11 eingebaut und im AV-TEST-Prüflauf für Privatanwender vom Mai/Juni 2026 mit der vollen Schutzwirkung von 6,0 von 6,0 Punkten bewertet worden: 100 Prozent Erkennung bei 224 Zero-Day-Samples und 100 Prozent bei 11.772 weit verbreiteten Schädlingen. Für die meisten Privatnutzer reicht das aus, eine gekaufte Zusatzsoftware ist nicht zwingend nötig.

1. Windows-Sicherheit öffnen: Start anklicken, Windows-Sicherheit tippen, App öffnen.
2. Scanoptionen aufrufen: Auf Viren- & Bedrohungsschutz gehen und unter „Aktuelle Bedrohungen“ auf Scanoptionen klicken.
3. Vollständige Überprüfung wählen: Sie prüft alle Dateien und laufenden Programme. Die Schnellüberprüfung klopft dagegen nur die typischen Befallsorte wie Systemordner, Autostart und laufende Prozesse ab – gut für die Routine, zu wenig bei konkretem Verdacht.
4. Scan starten: Auf Jetzt überprüfen klicken. Je nach Datenmenge dauert das 30 Minuten bis mehrere Stunden; du kannst nebenher weiterarbeiten. Defender bremst sich dabei selbst aus: Die Standardgrenze der CPU-Auslastung für Scans liegt laut Microsoft bei 50 Prozent.
5. Ergebnisse prüfen: Meldet Defender Funde, folge dem Vorschlag Aktionen starten. Die Software verschiebt Schädlinge in die Quarantäne, wo sie nichts mehr ausführen können. Die Historie steht dauerhaft unter Schutzverlauf.

Wer lieber tippt als klickt, startet denselben Vollscan in einer Administrator-Eingabeaufforderung mit MpCmdRun.exe -Scan -ScanType 2. Rückgabewert 0 heißt „nichts gefunden oder erfolgreich bereinigt“, Rückgabewert 2 heißt „Fund nicht bereinigt oder Scanfehler“ – praktisch, wenn du das Ganze in eine geplante Aufgabe packst. Vollscans laufen dabei in ein Zeitlimit von sieben Tagen, Schnellscans in eines von einem Tag.

Wenn der normale Scan nichts findet, das Problem aber bleibt

Hartnäckige Malware versteckt sich vor dem laufenden System. Drei Wege gehen tiefer, in dieser Reihenfolge:

• Offlineüberprüfung von Defender. Unter Scanoptionen die Option Microsoft Defender Antivirus (Offlineüberprüfung) wählen und auf Jetzt überprüfen klicken. Der PC meldet dich ab, startet neu und scannt außerhalb des normalen Windows-Kernels – genau dort, wo Viren und Rootkits sitzen, die den Master Boot Record infizieren oder die Windows-Shell umgehen. Microsoft veranschlagt rund 15 Minuten. Voraussetzung: x64-Windows 11 oder Windows 10, lokale Administratorrechte und ein aktiviertes Windows-Wiederherstellungssystem (WinRE). Auf ARM-Geräten und auf Windows Server läuft die Offlineüberprüfung nicht. Per PowerShell startest du sie mit Start-MpWDOScan.
• Zweitmeinung mit dem Microsoft Safety Scanner. Das portable Werkzeug msert.exe läuft ohne Installation und ist damit die richtige Wahl, wenn Malware die Installation anderer Sicherheitssoftware blockiert. Wichtig: Es enthält seine Signaturen fest im Programm und läuft 10 Tage nach dem Download ab – also vor jedem Einsatz frisch herunterladen. Das ausführliche Protokoll liegt danach unter %SYSTEMROOT%\debug\msert.log. Einen Echtzeitschutz ersetzt der Scanner ausdrücklich nicht, er scannt nur, wenn du ihn manuell startest.
• Abgesicherter Modus. Über Start → Ein/Aus → Neustart mit gedrückter Umschalttaste landest du in den erweiterten Startoptionen (Problembehandlung → Erweiterte Optionen → Starteinstellungen → Neu starten, dann Taste 4 oder 5). Windows lädt dort nur das Nötigste, viele Schädlinge bleiben inaktiv und lassen sich leichter entfernen.

Typische Fehlerbilder beim Scannen und was dahintersteckt

Vier Situationen tauchen in der Praxis immer wieder auf:

• Die Offlineüberprüfung passiert einfach nicht. Der PC startet neu und landet direkt wieder in Windows, ohne Fehlermeldung. Ursache ist fast immer ein deaktiviertes WinRE. Prüfen kannst du das mit reagentc /info in einer Administrator-Eingabeaufforderung; steht der Status auf „Disabled“, schaltet reagentc /enable es wieder ein. Ob die Offlineüberprüfung überhaupt eingeplant wurde, siehst du in der Ereignisanzeige unter Anwendungs- und Dienstprotokolle → Microsoft → Windows → Windows Defender → Operational als Ereignis-ID 2030.
• Signaturupdates schlagen dauerhaft fehl. Dann sind meist beschädigte Definitionsdateien schuld. MpCmdRun.exe -RemoveDefinitions -All setzt die Signaturen auf den Auslieferungsstand zurück, danach holt MpCmdRun.exe -SignatureUpdate alles frisch. Erst danach lohnt ein neuer Scan.
• Defender selbst lässt sich nicht starten. Ist noch ein altes Fremd-Antivirus installiert oder unsauber entfernt worden, bleibt Defender abgeschaltet. Restlos deinstallieren (die Hersteller bieten dafür eigene Removal-Tools), neu starten, danach greift Defender wieder. Bleibt er stumm, hilft MpCmdRun.exe -WdEnable.
• Derselbe Fund kommt nach jedem Neustart zurück. Häufigster Grund: Die Datei liegt in einem alten Wiederherstellungspunkt oder in einem gesicherten Ordner, den Defender zwar meldet, aber nicht anfassen darf. Ein Blick in die Quarantäne lohnt in dem Fall über MpCmdRun.exe -Restore -ListAll – dort siehst du, was tatsächlich isoliert wurde und was nur immer wieder neu gemeldet wird.

Wann Bereinigen nicht mehr reicht

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist an dieser Stelle deutlich: Die beste Methode der Infektionsbeseitigung besteht darin, die Systempartition neu zu formatieren und zuvor gesicherte Systemabbilder zurückzuspielen. Manche Schädlinge verändern das Betriebssystem so tief, dass auch gute Sicherheitslösungen das nicht mehr sauber reparieren können. Das BSI empfiehlt außerdem, bei Verdacht die Arbeit ruhig zu beenden, den Rechner auszuschalten und für die Bereinigung ein Rettungssystem zu verwenden, das man auf einem nicht infizierten Rechner herunterlädt und auf USB-Stick oder DVD schreibt.

Praktisch heißt das: Bei Ransomware, bei einem Rootkit-Verdacht, den der Offline-Scan bestätigt hat, oder wenn nach der Bereinigung weiter Prozesse auftauchen, die dort nicht hingehören, ist die Neuinstallation der schnellere und ehrlichere Weg. Ändere danach die Passwörter der wichtigen Konten – und zwar von einem anderen, sauberen Gerät aus, nicht vom frisch infizierten Rechner.

Hintergrund: Warum ein Scan allein nicht reicht

Ein Virenscanner arbeitet zweigleisig: Er vergleicht Dateien mit bekannten Signaturen und beobachtet zusätzlich verdächtiges Verhalten von Programmen. Brandneue Schädlinge, die sogenannte Zero-Day-Malware, sind in den Signaturen naturgemäß noch nicht erfasst – genau deshalb testet AV-TEST diese Kategorie getrennt von der weit verbreiteten Malware, und genau deshalb ist Vorbeugung wirksamer als der Scan im Nachhinein.

Konkret: Windows und alle Programme über automatische Updates aktuell halten, keine Anhänge und Links aus unerwarteten Mails öffnen, Software nur von den offiziellen Herstellerseiten laden und ein Backup fahren, das nicht dauerhaft am Rechner hängt. Ein vollständiger Scan etwa einmal im Monat ergänzt die laufende Echtzeitüberwachung sinnvoll, ersetzt sie aber nicht – und wer nur nach einem Verdacht das System auf Malware scannen lässt, bemerkt vieles erst, wenn es schon Schaden angerichtet hat.

Quellen

• Microsoft Learn: Microsoft Defender Offline-Überprüfung in Windows (Stand 03.07.2026)
• Microsoft Learn: MpCmdRun.exe – Kommandozeile für Microsoft Defender Antivirus (Stand 09.06.2026)
• Microsoft Learn: Microsoft Safety Scanner (msert.exe)
• BSI: Infektionsbeseitigung für PCs, Laptops & Co.
• AV-TEST: Microsoft Defender Antivirus (Consumer) 4.18, Windows 11, Mai/Juni 2026

Häufige Fragen

Wie kann ich mein System kostenlos auf Malware scannen?

Mit dem eingebauten Microsoft Defender: Windows-Sicherheit öffnen, Viren- & Bedrohungsschutz, Scanoptionen, Vollständige Überprüfung wählen und starten. Zusatzsoftware ist dafür nicht nötig.

Was ist der Unterschied zwischen Schnellscan und vollständiger Überprüfung?

Der Schnellscan prüft nur typische Befallsorte wie Systemordner, Autostart und laufende Prozesse und dauert Minuten. Die vollständige Überprüfung kontrolliert alle Dateien und braucht je nach Datenmenge Stunden.

Wann sollte ich die Offlineüberprüfung von Defender nutzen?

Wenn der Vollscan nichts findet, das System sich aber weiter verdächtig verhält. Sie startet den PC neu und scannt außerhalb des Windows-Kernels, wo Rootkits sich nicht mehr tarnen können. Dauer laut Microsoft rund 15 Minuten.

Warum startet die Offlineüberprüfung bei mir nicht?

Meist ist das Windows-Wiederherstellungssystem (WinRE) deaktiviert. Prüfe es mit reagentc /info in einer Administrator-Eingabeaufforderung und aktiviere es mit reagentc /enable. Auf ARM-Geräten und Windows Server läuft der Offline-Scan gar nicht.

Was tun, wenn der Scan Malware findet?

Auf Aktionen starten klicken, Defender verschiebt den Fund in die Quarantäne. Bleibt das System auffällig oder war Ransomware aktiv, empfiehlt das BSI, die Systempartition neu zu formatieren und ein Backup zurückzuspielen.