Blog

Fairer Vergleich von Windows-Timeline-Parsern: WxTCmd, Werkzeuge von kacos2000, Plaso, Velociraptor, SQL-Abfragen und dieser Browser-Parser, samt WAL-Handling.

Windows Timeline, SRUM, Prefetch und Jump Lists im Vergleich: was jedes Artefakt speichert, wo es liegt, wie lange es hält und welche Frage es beantwortet.

Wo die Beweiskraft von Windows Timeline endet: Ablauf, Einstellungen, gelöschter Verlauf, entfernte Zeilen, fehlendes WAL, Parser-Grenzen und Manipulation.

Fiktiver Fall Schritt für Schritt: interaktive Sitzung eines Dienstkontos und Exfiltration von Gehaltsdaten aus ActivitiesCache.db und WAL rekonstruieren.

Wie Windows Text aus der Zwischenablage in ActivitiesCache.db speichert: Typen 10 und 16, nötige Einstellungen, Ablauf nach 12 Stunden und Base64-Dekodierung.

Was eine Windows-Timeline-Zeile wirklich belegt: geöffnete Datei, App im Fokus, Nutzungsdauer. Wie Sie es formulieren und welche Artefakte es bestätigen.

Schritt für Schritt: ActivitiesCache.db mit -wal im kostenlosen Viewer öffnen, Apps, Dateien, Fokuszeit und Zwischenablage filtern, CSV oder JSON exportieren.

Windows 11 hat die Timeline-Ansicht entfernt, doch ActivitiesCache.db kann weiter auf der Platte liegen. Was sich änderte, was Quellen sagen und wie Sie prüfen.

Wie das SQLite-Write-Ahead-Log die jüngste Windows-Timeline-Aktivität in ActivitiesCache.db-wal verbirgt, wie Checkpoints arbeiten und wie man es auswertet.