XProtect

Hintergrundscans sind der übliche Grund. XProtect Remediator führt alle paar Stunden einen kurzen Scan aus und längere tägliche und wöchentliche, die warten, bis der Mac am Netzteil hängt. Während eines Scans siehst du vielleicht XProtect, XProtectPluginService und Prozesse namens XProtectRemediator gefolgt von einem Schadsoftware-Namen, etwa XProtectRemediatorAdload oder XProtectRemediatorPirrit, weit oben in den Listen „CPU“ und „Festplatte“. Jeder sucht nach einer Familie von Schadsoftware und endet von selbst.

Neue Regeln lösen eine zweite, kürzere Runde aus. Wird ein Signatur-Update installiert, gleicht XProtect Apps erneut mit den neuen Regeln ab, seine CPU-Last kann nach einem Update also eine Weile steigen. Dasselbe passiert in kleinerem Maß, wenn du mehrere Apps auf einmal installierst oder aktualisierst, weil jede geänderte App erneut geprüft wird.

Lass den Scan fertig werden. Beende keine XProtect-Prozesse und such nicht nach Wegen, sie abzuschalten: macOS startet sie wieder, und sie sind es, die Schadsoftware von deinem Mac entfernen. Kommen Scans immer zu ungünstigen Zeiten, lass den Mac eine Weile wach und am Netzteil, wenn du ihn nicht nutzt, damit die längeren abschließen können.

Lass seine Updates eingeschaltet. Öffne „Systemeinstellungen“ → „Allgemein“ → „Softwareupdate“, klicke neben „Automatische Updates“ auf die Infotaste und prüfe, ob „Systemdatendateien und Sicherheitsupdates installieren“ eingeschaltet ist. Unter macOS Sequoia und älter heißt die Einstellung „Sicherheitsmaßnahmen und Systemdateien installieren“. So kommen neue XProtect-Regeln auf deinen Mac.

Die Aktivitätsanzeige zeigt XProtect bei der Arbeit, und das Terminal oder die Systeminformationen sagen dir, welche Version seiner Regeln du hast.

1. Öffne die Aktivitätsanzeige, klicke auf den Tab „CPU“, wähle „Darstellung“ → „Alle Prozesse“ und gib xprotect ins Suchfeld ein. Meist siehst du xprotectd, XprotectService und XProtectBridgeService. Während eines Scans kommen die Prozesse XProtect, XProtectPluginService und XProtectRemediator dazu.
2. Um zu sehen, von wo aus jeder läuft, öffne das Terminal und führe ps -axo user,comm | grep -i xprotect aus. Apples Prozesse laufen aus /usr/libexec, aus /Library/Apple/System/Library/CoreServices/XProtect.app oder aus /System/Library/PrivateFrameworks/XprotectFramework.framework.
3. Ab macOS Sequoia führst du xprotect version aus. Es gibt die installierte Version der XProtect-Regeln und das Datum ihrer Installation aus.
4. Führe sudo xprotect check aus und gib dein Passwort ein, um die neueste Version zu sehen, die Apple veröffentlicht hat. Ist sie höher als deine, installiert sudo xprotect update sie sofort.
5. Auf jedem aktuellen macOS hältst du die Wahltaste gedrückt, wählst „Apple-Menü“ → „Systeminformationen“ und klickst unter „Software“ auf „Installationen“. Updates mit den Namen XProtectPlistConfigData, XProtectPayloads oder XProtectCloudKitUpdate gehören zu XProtect. Im Terminal gibt system_profiler SPInstallHistoryDataType | grep -A4 XProtect dieselbe Liste aus.

Normal: Die Prozesse von XProtect kommen und gehen über den Tag und brauchen meist wenig. Bleibt derselbe jeden Tag stundenlang weit oben in der CPU-Liste, starte den Mac neu, was einen hängenden Scan beendet, und sorg dafür, dass seine Updates aktiviert sind, damit dich jede Korrektur von Apple erreicht.

Zu diesen Zeiten ist XProtect beschäftigter als sonst, und jede endet von selbst:

• Ein geplanter Scan: ein kurzer alle paar Stunden und längere tägliche und wöchentliche, wenn der Mac am Netzteil hängt.
• Die Stunden nach der Installation neuer Regeln, wenn er Apps erneut damit abgleicht.
• Der erste Start von Apps, die du geladen oder aktualisiert hast. Sie werden geprüft, bevor sie öffnen.
• Wenn du viele Apps auf einmal installierst oder aktualisierst, denn jede geänderte App wird erneut geprüft.

Findet XProtect beim Öffnen einer App bekannte Schadsoftware, blockiert es sie, legt sie in den Papierkorb und zeigt im Finder einen Hinweis. Leere den Papierkorb und lade die App nicht noch einmal von derselben Quelle. XProtect Remediator entfernt Schadsoftware, die es bei seinen Scans findet, ohne zu fragen.

XProtect startet den Mac nicht von selbst neu, und manches Entfernen wird erst nach einem Neustart abgeschlossen. Hast du einen Hinweis gesehen, starte neu, sobald es passt.

Kommt ein Hinweis immer wieder für eine App, die du nicht selbst geladen hast, holt etwas auf dem Mac sie erneut. Sieh unter „Systemeinstellungen“ → „Allgemein“ → „Anmeldeobjekte & Erweiterungen“ nach Objekten, die du nicht kennst, und entferne die App, zu der sie gehören.