dllhost.exe: Was steckt hinter COM Surrogate im Task-Manager?

Im Task-Manager steht „COM Surrogate“, manchmal gleich mehrfach, und unter Details heißt derselbe Eintrag dllhost.exe. Viele fragen sich dann, ob das ein Virus ist oder warum der Prozess plötzlich die CPU auslastet. Hinter dllhost.exe steckt ein normaler Bestandteil von Windows, der Programmbausteine getrennt vom aufrufenden Programm in einem eigenen Prozess ausführt. Hier erfährst du, was er genau macht, woran du die echte Datei erkennst und was bei hoher Last oder Fehlermeldungen offiziell hilft.

Was ist dllhost.exe?

dllhost.exe ist der Standard-Ersatzprozess von Windows für sogenannte COM-Objekte. Raymond Chen, der laut seinem Autorenprofil im Microsoft-Entwicklerblog seit mehr als 30 Jahren an der Entwicklung von Windows beteiligt ist, hat es schon 2009 in seinem Blog The Old New Thing knapp beschrieben. Der Prozess dllhost.exe läuft unter dem Namen COM Surrogate. Die meisten bemerken ihn erst, wenn er abstürzt und Windows meldet, dass der COM Surrogate nicht mehr funktioniert.

Zwei Begriffe helfen beim Verständnis. Eine DLL (Dynamic Link Library) ist laut Microsoft eine Bibliothek mit Code und Daten, die mehrere Programme gleichzeitig nutzen können. Das Component Object Model (COM) ist ein Microsoft-System für Softwarebausteine, die miteinander zusammenarbeiten. Viele dieser Bausteine liegen als DLL vor und laufen normalerweise direkt im Programm, das sie aufruft.

Manchmal ist das aber nicht gewünscht. Dann lädt Windows die DLL in einen eigenen Ersatzprozess, englisch „Surrogate“. Microsoft nennt in seiner Entwicklerdokumentation DLL Surrogates die Vorteile, allen voran Fehlerisolation und die Möglichkeit, mehrere Programme gleichzeitig zu bedienen. Den Standard-Ersatzprozess liefert Windows selbst mit. Laut einem Microsoft-Fachartikel, der den DCOM-Ersatzprozess erklärt, heißt diese Standarddatei dllhost.exe.

Wofür Windows den COM Surrogate braucht

Miniaturansichten im Datei-Explorer

Das bekannteste Beispiel sind die Vorschaubilder im Explorer. Öffnest du einen Ordner mit eingeschalteten Miniaturansichten, startet der Explorer laut Raymond Chen einen COM Surrogate und lässt dort die Vorschaubilder für die Dateien berechnen. Der Grund ist Vorsicht. Die Programmteile, die Vorschaubilder erzeugen, sind nach Chens Worten in Sachen Stabilität wenig zuverlässig. Der Explorer nimmt deshalb etwas Leistungseinbuße in Kauf, um selbst stabil zu bleiben.

Microsofts Entwicklerdokumentation zu Thumbnail Handlers bestätigt das Prinzip. Handler, darunter die für Miniaturansichten, laufen standardmäßig in einem separaten Prozess.

Ein historisches Beispiel zeigt, dass das auch Last erzeugen kann. In einem Supportartikel aus der Zeit von Windows 8 beschreibt Microsoft, dass Dllhost.exe übermäßig viel CPU-Leistung verbrauchte, wenn der Explorer die Miniaturansicht einer ASF-Videodatei mit beschädigtem Index erzeugte. Behoben wurde das mit einem Update-Rollup vom Juli 2013. Der Artikel gilt laut Microsoft nur für Windows RT, Windows 8 und Windows Server 2012.

Fehlerisolation und COM+-Anwendungen

Stürzt ein solcher Baustein ab, reißt er nur den COM Surrogate mit und nicht den Explorer. Chen nennt den Prozess deshalb einen „Opferprozess“. Der Explorer selbst läuft weiter.

Daneben nutzen auch andere Programme dllhost.exe für eigene Komponenten. Laut Microsoft laufen zum Beispiel alle COM+-Serveranwendungen in derselben Datei dllhost.exe. Auch deshalb können mehrere Einträge auftauchen. Außerdem lädt COM Bausteine, die in einem Ersatzprozess laufen, standardmäßig jeweils in einen eigenen. Mehrere COM-Surrogate-Einträge im Task-Manager sind für sich genommen also kein Alarmzeichen.

Woran du die echte dllhost.exe erkennst

Einen eigenen Steckbrief mit Speicherort veröffentlicht Microsoft für dllhost.exe nicht. In einem Microsoft-Fachartikel zu COM+-Anwendungen taucht der Prozess aber mit dem Pfad Windows\System32\dllhost.exe auf. Auch ein ehrenamtlicher Moderator im Microsoft-Q&A-Forum bezeichnet die dllhost.exe im System32-Ordner als den COM Surrogate von Windows. Auf 64-Bit-Windows liegen die 32-Bit-Versionen von Systemdateien laut Microsoft im Ordner SysWOW64. Deshalb kann dllhost.exe auch aus C:\Windows\SysWOW64 laufen.

So prüfst du, wo die laufende Datei liegt.

1. Öffne den Task-Manager mit Strg + Umschalt + Esc.
2. Wechsle zu Details (in Windows 11 im Menü links) und such in der Liste nach dllhost.exe.
3. Klick mit der rechten Maustaste auf den Eintrag und wähle Dateispeicherort öffnen.

Öffnet sich der Ordner C:\Windows\System32 oder C:\Windows\SysWOW64, passt das zum Normalfall. Findest du eine Datei dieses Namens an einem ungewöhnlichen Ort, etwa im Download-Ordner, auf dem Desktop oder in deinem Benutzerordner, solltest du sie mit einem Virenscan prüfen. Ähnlich aussehende Namen wie „dIlhost.exe“ mit großem i sind ein weiteres Warnsignal. Auch das BSI warnt vor Dateinamen, die täuschen sollen, etwa vor doppelten Endungen wie „pdf.exe“ bei E-Mail-Anhängen.

Wer genauer wissen will, welcher Baustein in einem COM Surrogate läuft, kann den Process Explorer aus Microsofts Sysinternals-Sammlung nutzen. Er zeigt laut Microsoft, welche DLLs ein Prozess geladen hat, und läuft in der aktuellen Version ab Windows 11. Das Werkzeug richtet sich eher an Fortgeschrittene. Für die Alltagsprüfung reicht der Task-Manager.

Ist dllhost.exe ein Virus?

Die echte dllhost.exe ist kein Virus, sondern ein Teil von Windows. Schadsoftware kann sich aber hinter einem vertrauten Namen verstecken, und aus der Ferne lässt sich das nicht beurteilen. Das BSI rät, bei Verdacht das Gerät zuerst mit einem aktuellen Virenschutzprogramm zu untersuchen. In Windows ist dafür Microsoft Defender eingebaut. Die Schritte stammen aus der Microsoft-Hilfe Viren- und Bedrohungsschutz in der Windows-Sicherheit-App, die für Windows 11 und Windows 10 gilt.

1. Öffne die App Windows-Sicherheit und wähle Viren- & Bedrohungsschutz.
2. Starte unter Aktuelle Bedrohungen einen Schnellscan.
3. Für eine gründlichere Prüfung öffnest du die Scanoptionen und wählst Vollständige Überprüfung. Sie prüft jede Datei und jedes Programm auf dem Gerät.

Besteht der Verdacht weiter, findest du in den Scanoptionen auch Microsoft Defender Antivirus (Offlineüberprüfung). Auf PCs mit ARM-Prozessor gibt es diese Überprüfung laut Microsoft nicht. Sie läuft nach einem Neustart, ohne Windows zu laden. So hat hartnäckige Schadsoftware es laut Microsoft schwerer, sich zu verstecken. Speichere vorher alle offenen Dateien.

Ist BitLocker auf dem Systemlaufwerk aktiv, kann laut Microsoft beim Neustart in die Offlineumgebung der BitLocker-Wiederherstellungsschlüssel abgefragt werden. Halte ihn also bereit.

Bestätigt sich eine Infektion, empfiehlt das BSI, das gesamte System neu aufzusetzen, weil viele Schadprogramme tiefgreifende Änderungen vornehmen. Bei Firmenrechnern sprichst du am besten direkt die IT an.

Was bei hoher CPU-Last durch dllhost.exe hilft

Dass der COM Surrogate kurz viel Rechenleistung braucht, ist nicht ungewöhnlich. Öffnest du einen Ordner mit Hunderten Fotos oder Videos, berechnet Windows im Hintergrund die Vorschaubilder. Kritisch wird es erst, wenn die Last dauerhaft hoch bleibt.

Microsoft empfiehlt, CPU-, Arbeitsspeicher- und Datenträgerauslastung im Task-Manager zu beobachten, um Prozesse zu finden, die den PC bremsen. Geh bei dllhost.exe in dieser Reihenfolge vor.

1. Kurz warten. Beobachte, ob die Last nach dem Öffnen eines großen Medienordners wieder sinkt.
2. PC neu starten. Ein Neustart beendet hängende Ersatzprozesse sauber.
3. Windows aktualisieren. Wähle in Windows 11 Start > Einstellungen > Windows Update > Nach Windows-Updates suchen und installiere verfügbare Updates. Fordert Windows dich danach dazu auf, starte das Gerät neu.
4. Auf Schadsoftware prüfen. Liegt die Datei weder in System32 noch in SysWOW64 oder bleibt die Last ohne erkennbaren Grund hoch, führe den Defender-Scan aus dem vorigen Abschnitt durch.

„COM Surrogate funktioniert nicht mehr“ und andere Fehler

Die Meldung „COM Surrogate has stopped working“, auf Deutsch sinngemäß „COM Surrogate funktioniert nicht mehr“, ist die typische Begegnung mit dllhost.exe. Treten solche Abstürze beim Durchsuchen von Ordnern mit Video- oder anderen Mediendateien auf, ist laut Raymond Chen höchstwahrscheinlich ein unzuverlässiger Codec die Ursache. Ein Codec komprimiert oder dekomprimiert laut Microsoft Mediendateien wie Songs oder Videos.

Der Explorer selbst läuft dabei weiter, weil der fehlerhafte Baustein im COM Surrogate steckt. Neustart und Windows Update aus dem vorigen Abschnitt sind auch hier die ersten Schritte.

Eine zweite Meldung, die Chen erwähnt, lautet sinngemäß „Die Aktion kann nicht abgeschlossen werden, da die Datei in COM Surrogate geöffnet ist“. In Chens Beispiel tauchte sie beim Löschen einer Datei auf. Die Meldung nennt den COM Surrogate als den Prozess, der die Datei gerade geöffnet hat. Ein Neustart des PCs beendet alle laufenden Prozesse, also auch den COM Surrogate.

Häufige Fehler im Umgang mit dllhost.exe

• Die Datei löschen oder umbenennen. dllhost.exe ist ein Teil von Windows, den Explorer, COM+-Anwendungen und viele Programme nutzen. Ein Eingriff in den System32-Ordner kann mehr kaputt machen als lösen.
• Jeden COM-Surrogate-Eintrag für Schadsoftware halten. Mehrere Instanzen sind normal. Entscheidend sind Speicherort und auffälliges Verhalten.
• Tools aus Download-Portalen installieren. Für die hier beschriebenen Schritte brauchst du keine angeblichen „dllhost-Fixer“. Task-Manager, Windows Update und Microsoft Defender sind in Windows bereits eingebaut.
• Virenschutz abschalten, weil er dllhost.exe meldet. Schlägt Microsoft Defender Alarm, folge seinen Empfehlungen, statt die Warnung wegzuklicken.

Fazit

dllhost.exe ist der COM Surrogate von Windows, ein Ersatzprozess, in dem Programmbausteine getrennt vom aufrufenden Programm laufen. Am häufigsten begegnet er dir beim Erzeugen von Miniaturansichten im Explorer. Mehrere Instanzen und kurze Lastspitzen sind normal.

Bleibt die CPU-Last hoch oder stürzt der COM Surrogate ab, sind Neustart und Windows Update die ersten Schritte. Treten Abstürze in Medienordnern auf, ist laut Raymond Chen höchstwahrscheinlich ein unzuverlässiger Codec die Ursache. Prüfe im Zweifel den Speicherort im Task-Manager und starte einen Scan mit Microsoft Defender. Die Datei selbst rührst du nicht an.

Häufige Fragen

Was ist dllhost.exe COM Surrogate?

COM Surrogate ist der Anzeigename von dllhost.exe im Task-Manager. Der Prozess führt COM-Bausteine aus, die außerhalb des aufrufenden Programms laufen sollen, etwa beim Erstellen von Vorschaubildern. Stürzt ein solcher Baustein ab, bleibt das eigentliche Programm stabil.

Kann ich dllhost.exe beenden?

Einzelne COM-Surrogate-Prozesse beendet Windows selbst, sobald sie nicht mehr gebraucht werden. Laut Microsoft kümmert sich COM sowohl um das Entladen der Bausteine als auch um das Beenden des Ersatzprozesses. Hängt etwas, ist ein Neustart des PCs der sauberste Weg.

Warum laufen so viele dllhost.exe gleichzeitig?

COM lädt Bausteine, die in einem Ersatzprozess laufen sollen, standardmäßig jeweils in einen eigenen. Nutzen mehrere Programme oder Funktionen gerade solche Bausteine, siehst du entsprechend mehrere Einträge. Das ist für sich genommen kein Hinweis auf Schadsoftware.

Wo liegt die echte dllhost.exe?

In einem Microsoft-Fachartikel zu COM+ erscheint der Prozess unter Windows\System32\dllhost.exe. Auf 64-Bit-Windows kann sie auch in SysWOW64 liegen. Den Ort einer laufenden Instanz findest du im Task-Manager unter Details über Rechtsklick und Dateispeicherort öffnen. Liegt eine Datei dieses Namens an einem ungewöhnlichen Ort, scanne sie mit Microsoft Defender.

Was tun bei einem dllhost.exe-Fehler?

Starte den PC neu und installiere alle verfügbaren Windows-Updates. Tritt der Fehler in Ordnern mit Videos oder anderen Mediendateien auf, ist laut Raymond Chen von Microsoft höchstwahrscheinlich ein unzuverlässiger Codec die Ursache. Der Explorer bleibt dabei stabil, weil nur der COM Surrogate abstürzt.

Quellen & Belege

• Microsoft DevBlogs, Raymond Chen: What does the COM Surrogate do and why does it always stop working? – belegt: dllhost.exe heißt COM Surrogate, Explorer nutzt ihn für Miniaturansichten, Abstürze treffen den Ersatzprozess statt des Explorers, bei Abstürzen in Ordnern mit Video- oder Mediendateien höchstwahrscheinlich ein unzuverlässiger Codec („most likely a flaky codec“), Meldung „file is open in COM Surrogate“ beim Löschen einer Datei, Beitrag vom 12. Februar 2009
• Microsoft Learn: DLL Surrogates – belegt: DLL-Server können in einem Ersatzprozess laufen, Vorteile Fehlerisolation und mehrere Clients gleichzeitig, COM stellt einen Standard-Ersatzprozess bereit
• Microsoft Learn: Using the system-supplied surrogate – belegt: COM übernimmt das Entladen der DLL-Server und das Beenden des Ersatzprozesses
• Microsoft Learn: Surrogate Sharing – belegt: DLL-Server werden standardmäßig in ihren eigenen Ersatzprozess geladen
• Microsoft Learn: Run a DLL-based COM object – belegt: Die Standarddatei für den Ersatzprozess von DCOM heißt dllhost.exe
• Microsoft Learn: COM+-Anwendung funktioniert nicht mehr, wenn Benutzer sich abmelden – belegt: Prozess mit dem Pfad Windows\System32\dllhost.exe
• Microsoft Learn: Configuring the Software Restriction Policy – belegt: Alle COM+-Serveranwendungen laufen in derselben Datei dllhost.exe
• Microsoft Learn: Thumbnail Handlers – belegt: Handler, auch für Miniaturansichten, laufen standardmäßig in einem separaten Prozess
• Microsoft Support: Hohe CPU-Auslastung von Dllhost.exe-Prozess in Windows RT, Windows 8 oder Windows Server 2012 – belegt: hohe CPU-Last durch Dllhost.exe beim Erzeugen der Miniaturansicht einer ASF-Datei, Ursache beschädigtes Indexobjekt, Behebung per Updaterollup Juli 2013
• Microsoft Learn: Das Komponentenobjektmodell – belegt: Definition von COM
• Microsoft Learn: Was ist eine DLL? – belegt: DLL als Bibliothek mit Code und Daten, die mehrere Programme gleichzeitig nutzen können
• Microsoft Q&A (Community-Forum): Question about the dllhost.exe process – belegt: Aussage eines ehrenamtlichen Moderators, dass dllhost.exe im System32-Ordner der COM Surrogate von Windows ist
• Microsoft Learn: Process Explorer – belegt: Process Explorer zeigt, welche DLLs ein Prozess geladen hat, Version 17.2 vom 15. Oktober 2026 läuft auf Windows 11 und höher
• Microsoft Learn: Dateisystemumleitung – belegt: Zugriffe von 32-Bit-Prozessen auf %windir%\System32 werden nach %windir%\SysWOW64 umgeleitet, dort liegen die 32-Bit-Systemdateien
• Microsoft Support: Häufig gestellte Fragen zu Codecs – belegt: Ein Codec komprimiert oder dekomprimiert Mediendateien wie Songs oder Videos
• Microsoft Learn: Antivirenausschlüsse – belegt: Task-Manager, Registerkarte Details, Rechtsklick auf einen Prozess, Dateispeicherort öffnen
• Microsoft Support: Tipps zur Verbesserung der PC-Leistung in Windows – belegt: Task-Manager per Strg + Umschalt + Esc, Auswahl im linken Menü des Task-Managers, CPU-, Arbeitsspeicher- und Datenträgerauslastung beobachten
• Microsoft Support: Installieren von Windows-Updates – belegt: Menüpfad Nach Windows-Updates suchen, Neustart bei Aufforderung
• Microsoft Learn: Microsoft Defender Offline-Überprüfung in Windows – belegt: Offlinescan gilt nicht für ARM-Windows-11, bei aktivem BitLocker auf dem Systemlaufwerk mögliche Abfrage des BitLocker-Wiederherstellungsschlüssels beim Neustart in die Offlineumgebung
• BSI: Schadprogramme erkennen und sich schützen – belegt: doppelte Dateiendungen wie „pdf.exe“ bei E-Mail-Anhängen sollen täuschen, bei Verdacht zuerst mit aktuellem Virenschutz prüfen, bei bestätigter Infektion System neu aufsetzen

Stand: Oktober 2026. Menüs und Funktionen können sich mit Updates ändern. Angaben ohne eigene Quelle sind redaktionelle Erfahrungswerte.

Bildnachweis Beitragsbild: Foto Vitaly Gariev / Pexels