Welche digitalen Spuren lassen sich unter Windows auswerten?
Unter Windows sind vor allem NTFS-Metadaten, Registry-Einträge, Ereignisprotokolle, Prefetch-Spuren, Verknüpfungen und Sprunglisten sowie Papierkorb und Schattenkopien aussagekräftig. Weil dieselbe Nutzung an mehreren Stellen zugleich protokolliert wird, lassen sich Befunde gegeneinander prüfen.
NTFS-Metadaten und Dateisystemspuren
NTFS führt mehrere Zeitstempelsätze je Datei. Weichen sie voneinander ab, kann das auf Manipulation hinweisen und wird gesondert beschrieben.
Windows Registry
Die Registry enthält Einträge zu verbundenen Geräten, geöffneten Dateien und ausgeführten Programmen. Sie ist damit eine der dichtesten Quellen für Nutzungsspuren.
Ereignisprotokolle und Anmeldungen
Ereignisprotokolle dokumentieren Anmeldungen, Dienste, Fernzugriffe und Systemänderungen. Ihr Umfang ist begrenzt, ältere Einträge werden überschrieben.
Prefetch und Programmausführung
Prefetch- und andere Ausführungsspuren können Hinweise darauf liefern, ob und wann ein Programm ausgeführt wurde. Die konkrete Aussagekraft hängt vom jeweiligen Artefakt und Systemzustand ab.
Verknüpfungen und Sprunglisten
Verknüpfungen und Sprunglisten verweisen auf Pfade und Wechseldatenträger. Daraus ergeben sich Hinweise auf Dateien, die von externen Medien geöffnet wurden.
Schattenkopien und Papierkorbeinträge
Papierkorbeinträge und Schattenkopien früherer Systemzustände können Inhalte enthalten, die im laufenden System nicht mehr sichtbar sind. Ob sie vorliegen, hängt von der Systemkonfiguration ab.
