Browser-Zeitstempelformate erklärt
2026-05-19 · 2 min
Der mit Abstand häufigste Fehler in der Browser-Forensik ist ein
Epochen-Versatz. Stellen Sie ein last_visit_time aus Chromium mit der
Unix-Epoche dar, landet jeder Besuch im 17. Jahrhundert. Drei Formate decken
fast alles ab, was Ihnen begegnen wird.
Chromium (Chrome, Edge, Brave, Opera)
Mikrosekunden seit 1601-01-01 00:00:00 UTC, die WebKit/FILETIME-Epoche.
Verwendet von urls.last_visit_time, visits.visit_time,
cookies.creation_utc, downloads.start_time und den meisten anderen
Zeitstempelspalten in History, Cookies und Login Data.
unix_ms = chromium_value / 1000 - 11644473600000
Die Falle: autofill.date_created und autofill.date_last_used sind
einfache Unix-Sekunden. Gleiche Datenbank, andere Spaltenkonvention. Prüfen
Sie ein bekanntes Ereignis zur Plausibilität, bevor Sie en bloc konvertieren.
Firefox (PRTime)
Mikrosekunden seit 1970-01-01 00:00:00 UTC. Verwendet in
moz_places.last_visit_date, moz_historyvisits.visit_date und
moz_bookmarks.dateAdded.
unix_ms = firefox_value / 1000
Ausnahme: moz_cookies.expiry ist in Unix-Sekunden, und
moz_cookies.creationTime / lastAccessed sind PRTime-Mikrosekunden.
Gemischte Konventionen in einer einzigen Tabelle.
Safari (Mac Absolute Time)
Sekunden (oft mit Nachkommastellen) seit 2001-01-01 00:00:00 UTC, auch
Cocoa oder CFAbsoluteTime genannt. Verwendet in History.db und den
.plist-Beidateien.
unix_ms = (safari_value + 978307200) * 1000
Zeitzonendisziplin
Keines dieser Formate trägt eine Zeitzone; sie sind alle UTC. Stellen Sie sie in der Lokalzeit des Analysten dar, werden sich zwei Personen in verschiedenen Zeitzonen darüber uneinig sein, wann etwas passiert ist. Halten Sie Zeitleisten in UTC, kennzeichnen Sie ausdrücklich, wenn Sie lokal darstellen, und bestätigen Sie dies, indem Sie ein bekanntes Ereignis (eine VPN-Verbindung, ein Unternehmens-SSO-Eintrag aus EVTX) abgleichen, bevor Sie dem Rest vertrauen.