Die Top 18 CMD-Befehle für Windows, die jeder Anfänger kennen sollte

Wenn du gerade erst anfängst, die Welt der Cybersicherheit zu erkunden, ist eine der besten Möglichkeiten zu verstehen, wie Computer wirklich funktionieren, die Eingabeaufforderung – das alte, schwarz-weiße Fenster, das die meisten Menschen ignorieren.

Die Eingabeaufforderung mag einschüchternd wirken, aber für jeden, der in der Cybersicherheit beginnt, ist sie eines der besten Werkzeuge, um zu verstehen, was unter der Haube von Windows passiert. Die Verwendung von CMD hilft dir zu sehen, wie das Betriebssystem tatsächlich funktioniert – wie es mit dem Netzwerk kommuniziert, Dateien verwaltet und die Systemintegrität handhabt. Wenn du die vollständige Liste der integrierten Befehle erkunden möchtest, finden du hier die offizielle Referenz von Microsoft: Windows-Befehle – offizielle Dokumentation.

Bevor wir beginnen: Wenn du mit der Tastenkombination, um schnell zur Eingabeaufforderung zu gelangen, nicht vertraut bist, funktioniert es so:

1. Klicke auf die Windows-Taste (WINKEY) + R; dies ist die Tastenkombination zum Ausführen eines Programms.
2. Gebe „cmd“ ein und drücke die Eingabetaste

Dies öffnet das CMD-Tool, und du kannst loslegen!

Unten findest du eine praktische Liste von CMD-Befehlen, die alle angehenden Cybersicherheitslernenden kennen sollten, gruppiert nach Zweck. Jeder Befehl enthält eine kurze Erklärung, ein nützliches Praxisbeispiel und Hinweise, wann er relevant ist.

CMD-Befehle für allgemeine und Systeminformationen

1. systeminfo

Dieser CMD-Befehl sammelt und zeigt detaillierte Informationen über dein System an – Betriebssystemversion, Architektur, installierte Updates, Netzwerkkonfiguration und mehr. Er ist oft der erste Befehl, der bei der ersten Aufklärung auf einem Windows-Host verwendet wird, sei es für legitime Audits oder Sicherheitsbewertungen.

Beispiel:

systeminfo

Er ist besonders nützlich, um fehlende Updates zu überprüfen oder zu identifizieren, ob eine Zielmaschine einen bestimmten Betriebssystem-Build ausführt, der anfällig sein könnte.

2. tasklist

Wenn dein System anfängt, sich merkwürdig zu verhalten, möchtest du sehen, was gerade ausgeführt wird. tasklist bietet eine detaillierte Ansicht aller aktiven Prozesse, ähnlich dem Task-Manager, aber in Textform.

Beispiel:

tasklist

Kombiniere es mit findstr, um bestimmte Prozesse zu lokalisieren. Bei der Incident Response ist dies oft einer der ersten Schritte bei der Jagd nach bösartigen Programmen.

Beispiel:

tasklist | findstr chrome

Du kannst nach verdächtigen Prozessen suchen oder die Ausgabe filtern, um Malware oder Persistenzmechanismen zu erkennen, die sich vor grafischen Ansichten verbergen.

3. chkdsk

Überprüft eine Festplatte auf Dateisystemfehler und defekte Sektoren. Angreifer*innen nutzen manchmal Dateisysteminkonsistenzen aus, daher ist die Sicherstellung der Integrität ein wichtiger Schritt nach forensischer Akquisition oder Wiederherstellung.

Beispiel:

chkdsk C: /f

Das Hinzufügen von /f behebt erkannte Probleme automatisch. Ohne Parameter werden nur Probleme gemeldet.

4. sfc

SFC (System File Checker) scannt und repariert beschädigte oder modifizierte Systemdateien. Es ist nicht nur für die Fehlerbehebung nützlich, sondern auch zur Überprüfung der Integrität nach einer vermuteten Malware-Infektion.

Beispiel:

sfc /scannow

Führe dies als Administrator*in aus. Es überprüft alle geschützten Systemdateien und ersetzt fehlerhafte Versionen durch zwischengespeicherte Kopien. Aus Cybersecurity-Sicht hilft es zu überprüfen, ob kritische Komponenten manipuliert wurden.

5. net user

Dieser Befehl verwaltet Benutzerkonten. Gebe net user ein, um alle aufzulisten, oder net user , um Details zu einem bestimmten Konto anzuzeigen. Sicherheitsexpert*innen verwenden ihn, um nicht autorisierte Konten zu erkennen, die durch Malware oder während der Privilegieneskalation erstellt wurden. Du kannst auch Passwörter zurücksetzen oder Konten erstellen – nützlich in Systemadministrationsübungen.

Beispiele:

net user

– listet Konten auf

net user Administrator

– zeigt Details für ein bestimmtes Konto an

net user testuser /add

– lokales Konto hinzufügen

net user student NewPass123!

– weist ein Passwort für ein Benutzer*innenkonto zu oder ändert es

net user attacker /delete

– lokales Konto entfernen (Admin-Rechte erforderlich)

Die Überprüfung von Benutzerkonten ist einer der ersten Schritte bei der Untersuchung potenzieller Eindringversuche.

6. cleanmgr

Das Dienstprogramm zur Datenträgerbereinigung kann Speicherplatz durch das Entfernen temporärer Dateien und System-Caches freigeben. Aus Sicherheitssicht wird es manchmal bei der Wiederherstellung verwendet, um übrig gebliebene temporäre Dateien nach der Bereinigung zu entfernen; beachte jedoch, dass es forensische Artefakte nicht zuverlässig entfernt.

Beispiele:

cleanmgr

– öffnet die grafische Benutzeroberfläche für Bereinigungsoptionen

cleanmgr /sageset:1

dann

cleanmgr /sagerun:1

– Optionen vorkonfigurieren und nicht-interaktiv ausführen.

Nach Zwischenfallsimulationen hilft dieser Befehl, die Umgebung in einen sauberen Zustand zurückzusetzen.

7. powercfg

Dieser Befehl verwaltet Energie- und Energieeinstellungen, protokolliert aber auch Wecktimer und Geräte, die deinen Computer aus dem Ruhezustand holen. Nützlich nicht nur für die Optimierung, sondern auch für forensische Prüfungen unerwarteter Weckereignisse.

Beispiele:

powercfg /lastwake

– zeigt an, was den Computer zuletzt geweckt hat

powercfg /devicequery wake_armed

– Geräte, die zum Wecken des Systems berechtigt sind

powercfg /energy

– erzeugt einen Bericht, der auf fehlerhafte Treiber oder geplante Aufgaben hinweisen kann

In der Cybersicherheit kann powercfg /lastwake zeigen, welcher Prozess oder welches Gerät einen Computer geweckt hat – was manchmal geplantes Malware-Verhalten offenbart.

8. shutdown

Es dient nicht nur zum Ausschalten Ihres PCs. Mit shutdown /r /t 0 kannst du sofort neu starten; mit /l meldest du dich ab. In Cybersicherheitslaboren verwenden automatisierte Skripte es manchmal, um Systeme nach Tests oder Infektionssimulationen zurückzusetzen.

Beispiele:

shutdown /r /t 0

– sofort neu starten

shutdown /s /t 0

– sofort herunterfahren

shutdown /a

– einen ausstehenden Shutdown abbrechen

Bei der Reaktion auf Vorfälle wird es verwendet, um Hosts in einem lokalen Netzwerk zu isolieren oder Massenneustarts nach Updates zu skripten.

CMD-Befehle für die Datei- und Verzeichnisverwaltung

9. dir

Listet Dateien im aktuellen Verzeichnis und in Unterverzeichnissen auf, einschließlich versteckter und Systemdateien. Ein einfacher, aber leistungsstarker Befehl zur Datenaufzählung, besonders wenn man nach versteckten ausführbaren Dateien oder Skripten sucht.

Beispiele:

dir /a /s

Er wird oft mit findstr kombiniert, um die Ausgabe zu filtern – zum Beispiel:

dir /a /s | findstr ".exe"

10. tasklist

Zeigt eine Liste laufender Prozesse mit detaillierten Informationen an, einschließlich Speichernutzung, Sitzungsname und Fenstertitel.

Beispiele:

tasklist /v

Kombiniere ihn mit findstr, um verdächtige Prozesse zu finden:

tasklist /v | findstr powershell

Dies hilft, Persistenz- oder Post-Exploitation-Skripte zu erkennen, die noch im Speicher aktiv sind.

11. taskkill

Beendet einen laufenden Prozess nach Name oder PID. Nützlich beim Herunterfahren bösartiger ausführbarer Dateien während der Untersuchung oder Systembereinigung.

Beispiele:

taskkill /im malware.exe /f

Das Flag /f erzwingt die Beendigung, was oft notwendig ist, wenn der Prozess sich dem normalen Schließen widersetzt.

Netzwerkkonfiguration und Fehlerbehebung

12. ipconfig

Dieser Befehl ist dein Fenster dazu, wie dein Computer mit dem Netzwerk kommuniziert. Die Eingabe von ipconfig zeigt Ihre IP-Adresse, das Standard-Gateway und die Subnetzmaske an – im Grunde, wie sich dein Gerät online identifiziert. Für jede*n, der Cybersicherheit studiert, ist das Verständnis dessen fundamental. Du wirst oft ipconfig /all verwenden, um Details wie MAC-Adressen und DNS-Server zu sehen, oder ipconfig /flushdns, um zwischengespeicherte Domain-Daten nach dem Testen von Websites oder Spoofing-Szenarien zu löschen.

Beispiel:

ipconfig

ipconfig /all

– zeigt vollständige Netzwerkdetails an

ipconfig /flushdns

– leert den DNS-Cache (nützlich nach DNS-Änderungen oder beim Testen von DNS-Spoofing-Gegenmaßnahmen).

13. ping

Ping überprüft, ob ein Gerät erreichbar ist. Es sendet kleine Datenpakete und misst die Antwortzeit. Wenn Sie ping 8.8.8.8 (Googles DNS) ausführen, erfährst du, ob deine Internetverbindung tatsächlich funktioniert. Bei Sicherheitstests wird Ping oft verwendet, um zu bestätigen, ob ein Ziel aktiv ist, bevor es gescannt wird, obwohl viele Firewalls ICMP-Anfragen blockieren, um unentdeckt zu bleiben.

Beispiele:

ping 8.8.8.8

ping -n 10 example.com

– sende 10 Pings, um die Stabilität zu messen.

14. tracert

Während ping anzeigt, ob etwas reagiert, zeigt tracert dir, wie deine Pakete dieses Ziel erreichen – es listet jeden Router oder „Hop“ auf dem Weg auf. Dies hilft dir, die Netzwerktopologie abzubilden und zu lokalisieren, wo der Datenverkehr verzögert oder blockiert wird, was bei Vorfalluntersuchungen oder der Verfolgung verdächtiger Routings wertvoll ist.

Beispiele:

tracert google.com

tracert 8.8.8.8

Im Bereich der Sicherheit wird es manchmal verwendet, um festzustellen, ob Netzwerkdatenverkehr umgeleitet oder abgefangen wird.

15. netstat

Netstat zeigt alle aktiven Netzwerkverbindungen und lauschenden Ports an. Gebe netstat -ano ein, um zu sehen, welche Prozesse welche Ports verwenden. Dieser Befehl ist Gold wert, wenn du verdächtige Aktivitäten untersuchst – wenn du einen seltsamen Prozess findest, der auf einem unerwarteten Port lauscht, könnte dies auf Malware oder eine Backdoor hindeuten. Analyst*innen verwenden netstat -b, um verdächtige ausgehende Verbindungen zu erkennen.

Beispiele:

netstat -ano

– um zu sehen, welche Prozesse welche Ports verwenden

netstat -b

– (erfordert erhöhte Rechte) zeigt die ausführbare Datei an, die an der Erstellung jeder Verbindung beteiligt ist.

netstat -r

– zeigt die Routing-Tabelle des Systems an – die interne „Karte“, wie Daten zwischen Schnittstellen übertragen werden. Ungewöhnliche oder unbekannte Routen können auf bösartige Gateways oder VPN-Fehlkonfigurationen hindeuten.

16. nslookup

Löst Domainnamen in IP-Adressen auf – nützlich zur Überprüfung der DNS-Konfiguration oder zur Untersuchung verdächtiger Domains. Jedes Mal, wenn du eine Website besuchst, muss dein System den Namen (wie example.com) in eine IP-Adresse übersetzen. nslookup ermöglicht es dir, diese Übersetzung manuell durchzuführen. Du kannst es auch verwenden, um DNS-Server zu testen oder zu sehen, ob eine Domain auf etwas Verdächtiges verweist.

Beispiele:

nslookup

dann im interaktiven Modus server 8.8.8.8 und example.com

nslookup example.com

nslookup -type=mx gmail.com

– ruft Mail-Exchange-Einträge ab

DNS-Abfragen können Phishing-Infrastrukturen oder Malware-Command-and-Control-Hosts aufdecken.

17. netsh

Eine leistungsstarke Netzwerkshell zum Anzeigen und Ändern der Netzwerkkonfiguration. Ein praktischer und häufig verwendeter forensischer Trick ist das Extrahieren gespeicherter Wi-Fi-Profile und deren Klartextschlüssel (erfordert Administratorrechte). Verwende dies, um zu prüfen, welche Wi-Fi-Netzwerke ein Gerät gespeichert hat, und um nach schwachen gemeinsam genutzten Schlüsseln zu suchen.

Beispiele:

netsh wlan show profiles

– listet gespeicherte Wi-Fi-Profile auf

netsh wlan show profile name="WiFiName" key=clear

– zeigt den Klartextschlüssel für dieses Profil an (ersetze „ProfileName“ durch den tatsächlichen Profilnamen)

netsh interface ipv4 show config – zeigt die IPv4-Schnittstellenkonfiguration an.

18. arp 

Zeigt die ARP-Tabelle an – eine Zuordnung zwischen IP-Adressen und MAC-Adressen. Hilft bei der Erkennung von ARP-Spoofing-Angriffen oder unbekannten Geräten im lokalen Netzwerk.

Beispiel:

arp -a

Vergleiche Einträge mit erwarteten Geräten, um Anomalien zu erkennen.

Warum diese CMD-Befehle für die Cybersicherheit wichtig sind

Jeder dieser Befehle vermittelt Einblick – die Grundlage der Systemverteidigung. GUI-Tools zeigen Ergebnisse, aber CMD zeigt den Prozess, die Protokolle und den Live-Datenfluss. Sicherheitsexpert*innen verlassen sich auf diese Perspektive, um Anomalien zu erkennen, die Integrität zu überprüfen und das Netzwerk über die Oberfläche hinaus zu verstehen.

Für absolute Anfänger*innen bedeutet das Beherrschen dieser Befehle, dass du aufhörst, ein*e passive*r Benutzer*in zu sein, und anfangen, ein*e Analyst*in zu werden. Du wirst wissen, wie du deinem System Fragen stellst – und wie du dessen Antworten liest.

Wenn du alle verfügbaren Windows-Befehlszeilentools ausführlicher erkunden möchtest, werfe einen Blick in die offizielle Dokumentation von Microsoft.

Bereit für mehr?

Nehmen Sie am Cybersecurity-Kurs von Cybersteps teil, wo du diese Befehle in praxisnahen Labs einsetzt, Netzwerke kartierst, Verbindungen überwachst und Windows-Systeme praktisch analysieren wirst. Das Verständnis von CMD-Befehlen ist nicht nur ein cooler Trick – es ist ein entscheidender Schritt auf dem Weg zur Cybersicherheitsexpertise.