Speicherorte der Chrome-Verlaufsdateien
2026-05-19 · 2 min
Chrome legt Benutzerdaten je Betriebssystem-Konto unter einem Hersteller-
verzeichnis ab, mit einem Unterordner pro Profil (Default, Profile 1,
Profile 2, …). Auf einem Host, auf dem der Benutzer getrennte Arbeits- und
Privatprofile anlegt, behandeln Sie jeden Ordner als eigenständigen
Untersuchungsbereich.
Profilstammverzeichnis je Betriebssystem
Windows
C:\Users\<user>\AppData\Local\Google\Chrome\User Data\<profile>
C:\Users\<user>\AppData\Local\Google\Chrome\User Data\<profile>\Cache
macOS
/Users/<user>/Library/Application Support/Google/Chrome/<profile>
/Users/<user>/Library/Caches/Google/Chrome/<profile>/Cache
Linux
/home/<user>/.config/google-chrome/<profile>
/home/<user>/.cache/google-chrome/<profile>/Cache
Was jede Datei enthält
| Daten | Datei | Format | Wo innerhalb |
|---|---|---|---|
| Website-Besuche | History | SQLite | urls, visits, visit_source |
| Suchen | History | SQLite | keyword_search_terms, urls |
| Downloads | History | SQLite | downloads, downloads_url_chains |
| Cookies | Network/Cookies | SQLite | cookies |
| Formularverlauf | Web Data | SQLite | autofill, autofill_profiles |
| Anmeldedaten | Login Data | SQLite | logins |
| Favicons | Favicons | SQLite | favicons, favicon_bitmaps, icon_mapping |
| Top-Seiten | Top Sites | SQLite | top_sites, thumbnails |
| Lesezeichen | Bookmarks | JSON | - |
| Einstellungen | Preferences, Secure Preferences | JSON | - |
| Sitzungen | Sessions/Session_*, Sessions/Tabs_* | Chrome SNSS | - |
| Cache | Cache/index, Cache/data_#, Cache/f_###### | Eigenformat | - |
| Local Storage | Local Storage/leveldb/ | LevelDB | Schlüssel pro Origin |
| IndexedDB | IndexedDB/<origin>.indexeddb.leveldb/ | LevelDB | strukturierte Werte |
In neueren Chrome-Builds (M96+) liegt die Cookies-SQLite-Datei innerhalb
des Unterverzeichnisses Network/ des Profils. Bei älteren Erfassungen
finden Sie sie eventuell noch im Profilstamm.
Zeitstempel und WAL
Besuchszeiten und die meisten anderen Chrome-Zeitstempel sind Mikrosekunden
seit dem 01.01.1601 UTC (siehe
Browser-Zeitstempelformate). Die
Tabelle autofill ist eine Ausnahme und verwendet Unix-Sekunden.
Chrome öffnet History im WAL-Modus. Erfassen Sie immer History-wal und
History-shm zusammen mit der Hauptdatei; ohne sie können Ihnen die
letzten Minuten des Surfens entgehen. Siehe
aktuellen Verlauf aus WAL wiederherstellen.
Hinweise zur Erfassung
Historyist gesperrt, solange Chrome läuft. Schließen Sie entweder den Browser, verwenden Sie eine Volume Shadow Copy oder ein Werkzeug, das mit der Sperre umgeht (KAPE zieht das gesamte Profil).- Profile 2 und höher enthalten oft die relevanten Artefakte; hören Sie
nicht bei
Defaultauf. - Korrelieren Sie Downloads mit der MFT und LNK-Dateien, wenn die ausführbare Datei später vom Benutzer gestartet wurde.