Jedes Programm, das mit dem System startet, muss sich irgendwo eintragen. Autoruns liest all diese Orte aus, auch diejenigen, die der Task-Manager nie anzeigen sollte.

Die Registerkarte für den Autostart ist ein kleines Fenster

Auf jedem Windows-Rechner, der ein Jahr im Einsatz ist, wirkt die Registerkarte ermutigend kurz. Ein Dutzend Zeilen, die Hälfte bereits deaktiviert, zwei Einträge als hohe Auswirkung markiert. Man schließt daraus leicht, das sei das ganze Bild und die restliche Verzögerung komme von woanders. Tatsächlich liest die Registerkarte nur zwei Orte aus, die Run-Schlüssel der Registrierungsdatenbank und den Autostartordner des Benutzers, also genau dorthin schreibt ein ordentlicher Installer seinen Eintrag. Alles andere, was sich beim Booten selbst startet, liegt außerhalb dieses Blicks.

Geplante Aufgaben laufen an, ohne dass jemand einen Ordner öffnet. Dienste starten lange bevor ein Desktop existiert. Treiber werden unterhalb des Betriebssystems geladen. Shell-Erweiterungen hängen sich an den Prozess des Dateibrowsers, Browser-Erweiterungen an den Browser, Druckmonitore an den Druckspooler, und Anmeldebenachrichtigungen führen Code in dem Moment aus, in dem eine Sitzung beginnt. Dazu kommen Schlüssel, deren einziger Zweck darin besteht, eine Bibliothek zu benennen, die in andere Prozesse eingeschleust wird. Jeder dieser Mechanismen hat legitime Aufgaben, und jeder ist ein Platz, an dem sich etwas dauerhaft einnisten kann.

Die Kategorie-Registerkarten sind die eigentliche Anleitung

Der erste Start ist auf eine sehr konkrete Art überwältigend. Die Liste ist nicht einfach nur lang, sie wird von Komponenten dominiert, die zu Windows selbst gehören. Der Bildschirm füllt sich mit Namen, die bedrohlich klingen und sich nach kurzer Recherche als völlig normal erweisen. Wenn man das einmal durcharbeitet, hat man einen Kurs über den Aufbau des Systems hinter sich. Autoruns trennt die Einträge nach dem Mechanismus, der sie lädt: Anmeldung, Erweiterungen des Dateibrowsers, Browser-Erweiterungen, geplante Aufgaben, Dienste, Treiber, Codecs, Programme aus der Bootphase und ein gutes Dutzend weiterer Kategorien, jede auf einer eigenen Registerkarte. Diese Tabs sind keine Zierde, sie sind eine Karte der Startfläche und lehrreicher als jedes Ablaufdiagramm.

Für jede Zeile zeigt das Kontextmenü die Datei hinter dem Eintrag, springt an die genaue Position in der Registrierungsdatenbank und erlaubt das Entfernen. Eine separate Option blendet alle Einträge mit Microsoft-Signatur aus. Dieses eine Kontrollkästchen ist das nützlichste Bedienelement im ganzen Programm. Aktiviert schrumpft die Liste auf einen Bruchteil, und übrig bleibt meist Code von Drittanbietern plus einige Treiberkomponenten, die wirklich dorthin gehören.

Wo sich unerwünschte Software lieber aufhält

Gewöhnliche unerwünschte Software fasst die Run-Schlüssel oft gar nicht an, weil dort jeder zuerst nachsieht. Sie bevorzugt die stilleren Ecken: Injektionslisten für Bibliotheken, Handler für Anmeldebenachrichtigungen, Stapel von Netzwerkanbietern und ähnliche Einstiegspunkte auf niedriger Ebene, die kaum ein Aufräumwerkzeug aufzählt. Genau diese Ecken abzudecken ist der Grund, warum es dieses Werkzeug gibt. Jede Zeile lässt sich außerdem über ihren Hashwert bei einem Online-Dienst zur Virenprüfung abgleichen. Das beantwortet die praktische Frage schnell: ist diese Datei als schädlich bekannt, oder ist sie mir nur unbekannt.

Am häufigsten übersehen wird die Offline-Analyse. Das Programm lässt sich auf die Festplatte eines Rechners richten, der nicht mehr bootet, sei es ein eingebundenes Volume oder ein zuvor erstelltes Abbild, und zählt die Starteinträge dieser Installation auf, als liefe sie lokal. Wer schon einmal ein System retten musste, das vor dem Anmeldebildschirm abstürzt, verwandelt damit eine Stunde Rätselraten in ein lesbares Verzeichnis. Für Skripte und entfernte Untersuchungen existiert zusätzlich eine Kommandozeilenvariante.

Wer es wirklich braucht

Die Zielgruppe ist bewusst schmal. Systemadministratoren, Personen aus der Vorfallbehandlung und alle, die gern wissen, wie ihr Rechner zusammengesetzt ist, haben jahrelang etwas davon. Wessen einziges Ziel ist, dass ein Notebook nicht mehr neunzig Sekunden bis zum Desktop braucht, öffnet die Liste, blendet signierte Einträge aus, deaktiviert zwei offensichtliche Übeltäter und denkt nie wieder darüber nach. In beiden Fällen ist der Gewinn derselbe: Der Rechner ist keine Blackbox mehr. Es ist kostenlos, besteht aus einer einzigen ausführbaren Datei und läuft nur unter Windows, was bei einem Werkzeug zur Inspektion von Windows-Innereien keine echte Einschränkung ist.

Der eigentliche Gewinn ist nicht das Aufräumen, sondern die Karte. Wer einmal jeden Ort gesehen hat, an dem sich Code an den Startvorgang hängen kann, erlebt das Betriebssystem nicht mehr als Rätsel, sondern als etwas Prüfbares.