Glossar
ActivitiesCache.db
Die benutzerspezifische SQLite-Datenbank hinter Windows Timeline und dem Aktivitätsverlauf, gespeichert unter ConnectedDevicesPlatform in AppData\Local.
ActivitiesCache.db ist die SQLite-Datenbank, in der Windows 10 (ab Version 1803) den Aktivitätsverlauf eines Benutzers speichert: verwendete Anwendungen, geöffnete Dateien und Seiten, Fokuszeit pro App und in manchen Konfigurationen Text aus der Zwischenablage. Sie liegt unter %LOCALAPPDATA%\ConnectedDevicesPlatform\<account-folder>\ und läuft im Write-Ahead-Log-Modus, daher gehört eine ActivitiesCache.db-wal dazu, die mitgesichert werden muss.
Die relevanten Tabellen sind Activity, ActivityOperation und Activity_PackageId. Siehe den vollständigen Leitfaden zur Windows-Timeline-Forensik und wo die Datei liegt.