Was sind die Ordner WOW64 und SysWOW64 und wozu dienen sie unter Windows?

Informatec Digital » Ressourcen » Was sind die Ordner WOW64 und SysWOW64 und wozu dienen sie unter Windows?

Wenn Sie jemals den Windows Task-Manager geöffnet haben , weil Ihr Computer langsamer als gewöhnlich lief, sind Ihnen wahrscheinlich seltsame Prozesse aufgefallen, die auf SysWOW64 oder den mysteriösen Ordner C:\Windows\SysWOW64 verweisen . Manchmal scheinen sie sogar viel Arbeitsspeicher zu belegen, der Prozess lässt sich nicht beenden, und natürlich schrillen sofort die Alarmglocken: „Was, wenn das ein Virus ist?“

Wenn Sie im Task-Manager zum Speicherort der Datei navigieren, stellen Sie fest, dass der Ordner Hunderte von .dll- und .exe-Dateien enthält und leicht mehrere Gigabyte groß ist. Erschwerend kommt hinzu, dass Windows Ihnen nicht erlaubt, ihn wie jeden anderen Ordner zu löschen. Es ist verständlich, dass dies beunruhigend wirken kann, aber zunächst einmal sollten Sie wissen, dass SysWOW64 standardmäßig kein Virus ist , sondern ein wichtiger Bestandteil des Betriebssystems.

Was sind WOW64, SysWOW64 und warum existieren diese seltsamen Ordner?

Moderne Microsoft-Systeme, insbesondere die 64-Bit- Versionen von Windows , sind so konzipiert, dass sie sowohl mit 64-Bit-Anwendungen als auch mit älteren 32-Bit-Programmen kompatibel sind. Um dies zu erreichen, integriert Windows die Technologie WOW64 (Windows on Windows 64) , die als eine Art „Übersetzer“ zwischen 32-Bit-Anwendungen und dem 64-Bit-Betriebssystem fungiert.

Diese WOW64-Komponente stellt eine Kompatibilitätsschicht bereit , die es einem 32-Bit-Programm ermöglicht, sich als auf einem normalen 32-Bit-Windows-System ausgeführt zu verhalten, obwohl es tatsächlich auf einem 64-Bit-System läuft. Dazu nutzt das System eine Kombination aus Datei- und Registry-Umleitung sowie Bibliotheken, die die Übersetzung und den Kontextwechsel zwischen 32-Bit- und 64-Bit-Systemen übernehmen.

Der Ordner SysWOW64 ist Teil dieses Mechanismus . Auf einem 64-Bit-Windows-System finden Sie zwei Hauptsystemverzeichnisse: C:\Windows\System32 und C:\Windows\SysWOW64 . Trotz des Namens enthält System32 die 64-Bit-Bibliotheken und -Programmdateien, während SysWOW64 die 32-Bit-Versionen speichert, die für ältere Programme benötigt werden.

Diese scheinbar widersprüchliche Organisation rührt von der Kompatibilität mit älterer Software her . Viele Entwickler haben den Pfad C:\Windows\System32 fest in ihren Code einprogrammiert , da sie davon ausgingen, dass dieser Ordner stets die Systembibliotheken enthalten würde. Um zu verhindern, dass diese Software beim Wechsel auf 64-Bit-Systeme in Konflikt gerät, entschied Microsoft, dass System32 das „Hauptverzeichnis“ des Systems bleiben und nun 64-Bit-Binärdateien enthalten sollte. Gleichzeitig wurde SysWOW64 für die 32-Bit-Binärdateien erstellt.

Kurz gesagt ermöglichen WOW64 und SysWOW64, dass ältere 32-Bit-Anwendungen unverändert in einer 64-Bit-Umgebung ausgeführt werden können, wobei architektonische Unterschiede für den Benutzer transparent verwaltet werden.

Unterschiede zwischen 32-Bit- und 64-Bit-Windows: Arbeitsspeicher, Programme und Kompatibilität

Viele Jahre lang nutzten die meisten im Handel erhältlichen Computer 32-Bit-Architekturen und 32-Bit-Versionen von Windows. Bei diesen Systemen liegt die praktisch nutzbare RAM-Kapazität üblicherweise zwischen 3 und 4 GB , da ein Teil des Adressraums für die Grafikkarte und andere Geräte reserviert ist.

Mit dem Aufkommen erschwinglicher 64-Bit-Prozessoren und Betriebssystemen wie Windows 7 und späteren Versionen vollzog der Markt einen gewaltigen Sprung hin zur 64-Bit-Architektur. Ein 64-Bit-Windows-System kann deutlich größere Speichermengen verwalten und erreicht in manchen Editionen Dutzende oder sogar Hunderte von Gigabyte RAM . Dies ermöglicht anspruchsvollere Anwendungen und eine insgesamt verbesserte Leistung, insbesondere in professionellen Umgebungen.

Auf einem 64-Bit-System können Sie native 64-Bit-Programme und dank WOW64 auch klassische 32-Bit-Anwendungen ausführen. Der WOW64-Emulator sorgt dafür, dass das 32-Bit-Programm weiterhin eine Umgebung sieht, die der eines 32-Bit-Windows-Systems ähnelt – mit eigenen Bibliotheken und Systempfaden – , obwohl intern alles anders funktioniert.

Die meisten 32-Bit-Programme müssen nicht wissen, ob sie auf einem 32-Bit- oder 64-Bit-System laufen. Nur in Ausnahmefällen, wenn die Software zwischen verschiedenen Architekturen unterscheiden muss, greift sie auf spezielle Windows-APIs zurück. Für den durchschnittlichen Benutzer ist jedoch wichtig, dass in der Regel nichts weiter unternommen werden muss : Das System regelt dies automatisch.

Es gibt jedoch einige wichtige Ausnahmen . Bestimmte Anwendungen auf sehr niedriger Ebene, wie beispielsweise viele ältere Antivirenprogramme, Treiber oder Sicherheitstools, die direkt mit dem Kernel interagieren, benötigen spezielle 64-Bit-Versionen, um auf einem 64-Bit-Windows-System korrekt zu funktionieren. In diesen Fällen ist eine 32-Bit-Version möglicherweise nicht kompatibel oder stark eingeschränkt.

System32-, SysWOW64- und Programmordner: Was die einzelnen Ordner enthalten

Bei der Installation von 64-Bit-Windows auf einem kompatiblen Computer erscheinen mehrere System- und Programmordner , was anfangs verwirrend sein kann. Auf Festplattenebene sollten Sie folgende Hauptpfade kennen:

• C: \ Windows \ System32: Windows-Systemordner, der auf einem 64-Bit-System speichert 64-Bit-Binärdateien (ausführbare Dateien und DLLs).
• C: \ Windows \ SysWOW64: Systemordner reserviert für die 32-Bit-Dateien die 32-Bit-Anwendungen unter WOW64 verwenden.
• C:\Programme (o C: \ Program Files): Verzeichnis, das für 64-Bit-Programme und die dazugehörigen Dateien.
• C:\Programme (x86) (o C: \ Program Files (x86)): Ordner, in dem 32-Bit-Programme auf einem 64-Bit-Windows-System.

Das rätselhafteste Detail ist, dass der Ordner System32 64-Bit-Code enthält , während SysWOW64 voller 32-Bit-Dateien ist. Das ist genau das Gegenteil von dem, was man aufgrund der Namen erwarten würde. Der Grund dafür ist, wie bereits erwähnt, die Kompatibilität mit älterer Software zu gewährleisten , die Systemressourcen in System32 erwartet.

In der Praxis leitet Windows viele Festplattenzugriffe transparent um . Wenn eine 32-Bit-Anwendung versucht, auf C:\Windows\System32 zuzugreifen , leitet das WOW64-Subsystem diese Anfrage an C:\Windows\SysWOW64 um , sodass das Programm die entsprechenden 32-Bit-Bibliotheken lädt, ohne den Trick zu bemerken.

Ähnliches gilt für Programmordner. 64-Bit-Anwendungen werden standardmäßig im Ordner „Programme“ installiert , 32-Bit-Anwendungen hingegen im Ordner „Programme (x86)“ . Ein gut konzipiertes Installationsprogramm erkennt die Systemarchitektur und platziert jede Binärdatei im richtigen Ordner, um Konflikte zu vermeiden.

Auch wenn ein Programm manchmal selbst dann funktioniert, wenn es im „falschen“ Ordner installiert ist, sollte man diese Ordnerstruktur stets einhalten . Fragt eine Anwendung Windows nach dem Pfad zu „Programme“ und Sie haben sie am falschen Ort installiert, sucht sie möglicherweise im falschen Verzeichnis nach den benötigten Dateien und kann so zu schwer zu diagnostizierenden Fehlern führen.

Was bedeuten WOW64 und x86? Ein kurzer Blick in die Geschichte.

Der Begriff WOW64 leitet sich von „Windows on Windows 64“ ab und bedeutet so viel wie „32-Bit-Windows auf einem 64-Bit-Windows-System“. Diese Komponente ermöglicht es 32-Bit-Anwendungen , ohne Benutzereingriff auf einem 64-Bit-Betriebssystem zu laufen . Sie stellt eine Kompatibilitätsschicht bereit, die die Kommunikation zwischen den beiden Betriebssystemen übersetzt.

Um seine Aufgaben zu erfüllen, ist WOW64 auf mehrere sehr spezifische dynamische Linkbibliotheken (DLLs) angewiesen:

• wow64.dll: dient als Hauptschnittstelle und übersetzt 32-Bit-Aufrufe in ihre 64-Bit-Entsprechungen.
• wow64win.dll: stellt die Einstiegspunkte bereit, über die Anwendungen mit dem 64-Bit-Subsystem interagieren.
• wow64cpu.dllSie ist für die Verwaltung des Wechsels des Ausführungsmodus zwischen 32 und 64 Bit im Prozessor zuständig.

Andererseits bezeichnet der Begriff x86 eine Familie von Intel-Prozessoren (8086, 80186, 80286, 80386 usw.), die einen kompatiblen Befehlssatz verwendeten. Im Laufe der Zeit, insbesondere seit dem legendären 80386, hat sich die Verwendung des Begriffs weit verbreitet und bezeichnet allgemein 32-Bit-Architekturen, die mit diesem Befehlssatz kompatibel sind . Heutzutage bedeutet „x86“ fast immer „32-Bit“.

Diese Namenskonvention findet sich auch in Windows im Ordner „Programme (x86)“ wieder , der eindeutig darauf hinweist, dass es sich um das Verzeichnis für 32-Bit-Software handelt . Im Gegensatz dazu ist der Ordner „Programme“ ohne Suffix mit 64-Bit-Anwendungen verknüpft.

System32, SysWOW64 und die Windows-Registrierung

Das gleichzeitige Vorhandensein von 32-Bit- und 64-Bit-Anwendungen wirkt sich nicht nur auf Dateiverzeichnisse, sondern auch auf die Windows-Registrierung selbst aus . Ebenso wie es separate Pfade für 32-Bit- und 64-Bit-Binärdateien gibt, existieren auch unterschiedliche Schlüssel, um die Konfiguration jedes Anwendungstyps getrennt zu halten.

In 32-Bit-Systemen (x86) werden die Einträge zur Programmdeinstallation üblicherweise im Schlüssel gespeichert:

HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ Currentversion \ Uninstall

Auf 64-Bit- Systemen (x64) führt Windows unter Wow6432Node einen zusätzlichen Knoten ein , um 32-Bit-Programme zu verwalten, die unter WOW64 ausgeführt werden. In diesem Fall wäre der typische Pfad zum Deinstallieren von 32-Bit-Anwendungen folgender:

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall

Dadurch trennt das System 32-Bit- und 64-Bit-Konfigurationen und -Referenzen und verhindert so, dass Anwendungen sich gegenseitig beeinträchtigen, indem sie lediglich einen Schlüssel- oder Wertnamen gemeinsam nutzen. Dies ist besonders wichtig für Installationsprogramme, Aktualisierungsprogramme und Fernwartungstools, die die installierte Programmversion erkennen müssen. Falls Sie eine Deinstallation erzwingen oder problematische Registry-Einträge bereinigen müssen, finden Sie in entsprechenden Anleitungen detaillierte Anweisungen.

Ist SysWOW64 ein Virus oder kann ich es einfach löschen?

Eine der häufigsten Befürchtungen ist, dass der Ordner SysWOW64 ein Virus oder etwas Gefährliches sei, da er viel Speicherplatz belegt, im Task-Manager angezeigt wird und sich nur schwer löschen lässt . Tatsächlich handelt es sich bei SysWOW64 um einen legitimen Systemordner, der für den Betrieb von 64-Bit-Windows unerlässlich ist.

Unter normalen Umständen speichert SysWOW64 32-Bit-DLL- und EXE-Dateien, die von Programmen benötigt werden, die unter WOW64 laufen. Dieser Ordner kann mehrere Gigabyte belegen, und einige Benutzer berichten sogar von Größen von fast 40 GB , insbesondere auf älteren Systemen mit vielen installierten Anwendungen. Dies kann dazu führen, dass Ihr Computer langsamer wird oder der Speicherplatz knapp wird. Um Speicherplatz freizugeben, können Sie Anweisungen zum Entfernen unnötiger Anwendungen in Windows 11 konsultieren. Dies bedeutet jedoch nicht zwangsläufig, dass der Ordner schädlich ist.

Es kann vorkommen, dass Malware-Entwickler den Namen SysWOW64 ausnutzen , um ihre Schadsoftware zu tarnen. Das heißt, sie manipulieren nicht den ursprünglichen Systemordner, sondern erstellen Dateien oder Prozesse mit sehr ähnlichen Namen, um nicht entdeckt zu werden. So kann ein ahnungsloser Benutzer einen Trojaner fälschlicherweise für eine legitime Systemkomponente halten.

Wenn Sie den Verdacht haben, dass etwas nicht stimmt, empfiehlt es sich, Ihr System mit einem aktuellen Antiviren- oder Anti-Spyware-Programm zu scannen und einen vollständigen Scan durchzuführen. Tools wie Malwarebytes und andere bekannte Sicherheitsprodukte können schädliche Prozesse erkennen, die versuchen, sich mithilfe von Systemdateinamen zu tarnen.

Wenn ein vollständiger Scan durch eine Sicherheitssoftware keine Bedrohungen im Zusammenhang mit SysWOW64 erkennt, ist es sinnlos, den Ordner zu löschen. Tatsächlich kann das manuelle Löschen von SysWOW64 Windows unbrauchbar machen oder schwerwiegende Fehler beim Ausführen von 32-Bit-Anwendungen verursachen.

Wie Sie erkennen, ob die angezeigte SysWOW64-Datei legitim oder Schadsoftware ist.

Selbst wenn das Verzeichnis C:\Windows\SysWOW64 legitim ist, kann Schadsoftware denselben oder einen sehr ähnlichen Namen an einem anderen Ort verwenden oder sich als Hintergrundprozess registrieren, um übermäßig CPU- und Arbeitsspeicherressourcen zu beanspruchen . Dies ist eine gängige Methode, insbesondere bei Trojanern und Kryptominern.

Ein deutliches Anzeichen für ein Problem ist, wenn der Computer extrem langsam läuft, der Lüfter ohne ersichtlichen Grund hochdreht oder die CPU-Auslastung dauerhaft über 80–90 % liegt. Prozesse im Task-Manager, deren Namen mit SysWOW64 in Verbindung stehen und die unverhältnismäßig viele Ressourcen verbrauchen, sollten genauer untersucht werden.

An diesem Punkt können Sie mit der rechten Maustaste auf den Prozess klicken und „Dateispeicherort öffnen “ auswählen. Befindet sich die ausführbare Datei nicht im üblichen Systempfad oder in einem verdächtigen Ordner innerhalb von AppData, Temp oder einem anderen ungewöhnlichen Speicherort, handelt es sich sehr wahrscheinlich um getarnte Schadsoftware, die sich als Windows-Komponente ausgibt.

Neben manuellen Scans ist ein vollständiger Scan mit einer Sicherheitssoftware unerlässlich . Viele Trojaner werden über E-Mails mit infizierten Anhängen, Raubkopien, Cracks, Keygens oder schädliche Werbung verbreitet, die Nutzer auf kompromittierte Webseiten weiterleitet. Sobald die Datei ausgeführt wird, lädt sich die Schadsoftware unbemerkt herunter, erstellt persistente Prozesse und kann legitime Namen verwenden, um den Nutzer zu täuschen.

Wenn Ihr Sicherheitstool eine schädliche Datei namens SysWOW64 oder ähnlich erkennt, sollten Sie die infizierten Komponenten von Ihrer Antivirensoftware entfernen oder unter Quarantäne stellen lassen . Wichtig: Der ursprüngliche Ordner C:\Windows\SysWOW64 darf nicht verändert werden, wenn der Scan keine Schadsoftware anzeigt.

Erweiterte Schritte zur Behandlung von SysWOW64-bedingten Infektionen

In schwerwiegenderen Fällen, insbesondere bei Ransomware, hartnäckigen Trojanern oder Kryptowährungs-Minern , kann eine gründlichere Systembereinigung erforderlich sein. Jede manuelle Bearbeitung von Systemdateien birgt jedoch Risiken und wird daher nur erfahrenen Benutzern empfohlen.

Eine gängige Methode ist der Neustart des Computers im abgesicherten Modus mit Netzwerkunterstützung . In dieser eingeschränkten Umgebung lädt Windows nur die unbedingt notwendigen Dienste, wodurch es vielen Schadprogrammen erschwert wird, beim Systemstart ausgeführt oder neu geladen zu werden. Dadurch lassen sich verdächtige Prozesse leichter aufspüren und löschen.

Unter Windows 7, Vista oder XP starten Sie den Computer neu und drücken wiederholt Tasten wie F8 (oder andere, je nach Mainboard), bis Sie die erweiterten Startoptionen aufrufen . Dort finden Sie den abgesicherten Modus mit Netzwerkunterstützung. Unter Windows 8 und Windows 10 öffnen Sie die Einstellungen, gehen zu Update und Sicherheit , wählen den Bereich Wiederherstellung und nutzen die erweiterten Startoptionen, um auf die Startoptionen, einschließlich des abgesicherten Modus, zuzugreifen.

Im abgesicherten Modus können Sie mit dem Task-Manager Hintergrundprozesse überprüfen, verdächtige Prozesse identifizieren, deren Speicherort auf der Festplatte öffnen und nach Beendigung des Prozesses die zugehörigen Dateien löschen . Ergänzend dazu sollte ein vollständiger Systemscan mit einem Anti-Malware-Tool durchgeführt werden.

Es ist außerdem hilfreich, die beim Systemstart ausgeführten Programme im Task-Manager unter dem Reiter „Autostart“ zu überprüfen und verdächtige Einträge zu deaktivieren. Zusätzlich können Sie die Windows-Datenträgerbereinigung ausführen, um temporäre Dateien, unnötige Downloads und andere Überreste zu löschen, die manche Schadsoftware zur Tarnung nutzt.

Gute Sicherheits- und Datensicherungspraktiken

SysWOW64 ist zwar eine legitime Komponente, doch Schadsoftware, die ihren Namen missbraucht, kann Tür und Tor für deutlich komplexere Angriffe öffnen , beispielsweise für Ransomware, die Ihre Dateien verschlüsselt, oder Trojaner, die sensible Daten stehlen. Daher ist die Kombination mehrerer präventiver Maßnahmen entscheidend.

Zunächst ist es ratsam, Ihre Antiviren- oder Anti-Malware-Software stets auf dem neuesten Stand zu halten , damit sie die aktuellsten Bedrohungen erkennt. Wichtig ist aber auch, eingehende E-Mails kritisch zu prüfen, Anhänge von fragwürdigen Absendern nicht zu öffnen und bei verkürzten Links, Angeboten, die zu gut klingen, um wahr zu sein, sowie Downloads inoffizieller Software vorsichtig zu sein.

Eine weitere entscheidende Schutzmaßnahme ist die regelmäßige Datensicherung Ihrer wichtigen Daten. Sollte es Ransomware gelingen, Ihre Dokumente, Fotos oder Projekte zu verschlüsseln, kann eine aktuelle Datensicherung den Unterschied zwischen der Wiederherstellung aller Daten und einem unwiederbringlichen Verlust ausmachen.

In Umgebungen, in denen Datenschutz eine zentrale Rolle spielt, ist der Einsatz vertrauenswürdiger VPNs sinnvoll , um bestimmte Arten der Nachverfolgung zu verhindern und die Verbindung vor Angriffen in öffentlichen Netzwerken zu schützen. Dies bietet zwar keinen direkten Schutz vor SysWOW64 oder ähnlichen Sicherheitslücken, trägt aber dennoch zur Verbesserung der allgemeinen Systemsicherheit bei.

Wenn Sie gute Surfpraktiken, ein aktuelles System, zuverlässige Sicherheitssoftware und verantwortungsvolle Gewohnheiten beim Herunterladen von Dateien kombinieren , verringern Sie die Wahrscheinlichkeit erheblich, dass sich Schadsoftware unter Namen wie SysWOW64 tarnt, ohne dass Sie es bemerken.

Der Ordner SysWOW64 und die WOW64-Technologie sind Schlüsselkomponenten, die es 64-Bit-Windows ermöglichen, 32-Bit-Anwendungen normal auszuführen. Sie nutzen spezielle Pfade wie SysWOW64, System32 und Program Files (x86) sowie separate Registrierungsschlüssel. Obwohl einige Viren diese Namen ausnutzen, um sich zu tarnen, sollte der Originalordner niemals gelöscht werden. Entscheidend ist die Kombination aus Sicherheitsanalyse, gesundem Menschenverstand und regelmäßigen Datensicherungen, um Ihr System stabil, schnell und frei von Bedrohungen zu halten, ohne die Kompatibilität mit Ihrer bestehenden Software zu beeinträchtigen.

In Verbindung stehender Artikel:

Wie man die Deinstallation eines Programms erzwingt und die Registrierung in Windows bereinigt