Windows Registry — Windows-Registrierungsdatenbank

Die Windows Registry ist die zentrale Konfigurationsdatenbank des Betriebssystems, in der System- und Anwendungseinstellungen, Benutzerprofile und unzählige Spuren der Nutzung hinterlegt sind. Für die Forensik ist sie eine wahre Fundgrube: Sie dokumentiert angeschlossene Geräte, gestartete Programme, Anmeldungen und vieles mehr. Sie ist eines der wichtigsten Windows-Artefakte überhaupt.

Historie & Fakten. Die Registry ist hierarchisch aufgebaut und in mehrere Dateien (Hives) gegliedert; sie hält neben Konfigurationen auch zahlreiche Aktivitätsspuren fest — zuletzt verbundene USB-Geräte, zuletzt geöffnete Dokumente, automatisch startende Programme (oft ein Ort für Schadsoftware-Persistenz), Netzwerkprofile und Reste gelöschter Einträge. Viele Schlüssel tragen Zeitstempel, die sich in eine Zeitleiste einordnen lassen. Ausblick & Empfehlung. Wegen ihrer Fülle ist die Registry zugleich ergiebig und unübersichtlich; gezieltes Wissen, an welchen Stellen welche Spuren liegen, ist entscheidend. Für die Untersuchung von Persistenz (wie sich Schadsoftware dauerhaft einnistet) und Nutzeraktivität ist sie unverzichtbar. Wie bei allen Artefakten gilt: auf einem forensischen Abbild arbeiten, Funde gegen andere Quellen abgleichen und in eine Gesamtzeitleiste einordnen, statt einzelne Schlüssel isoliert zu deuten.

Auch interessant