Speicherorte der Firefox-Verlaufsdateien
2026-05-19 · 2 min
Firefox-Profile liegen in einem zufällig benannten Verzeichnis unter
Profiles/, typischerweise <random>.default-release bei einer
Neuinstallation. Unter Windows ist der Cache zwischen Roaming und Local
aufgeteilt; ein unauffälliges Detail, das Anwender erwischt, die nur
Roaming kopieren und sich wundern, warum die Cache-Auswertung nichts
ergibt.
Profilstammverzeichnis je Betriebssystem
Windows
C:\Users\<user>\AppData\Roaming\Mozilla\Firefox\Profiles\<profile>
C:\Users\<user>\AppData\Local\Mozilla\Firefox\Profiles\<profile>\cache2
macOS
/Users/<user>/Library/Application Support/Firefox/Profiles/<profile>
/Users/<user>/Library/Caches/Firefox/Profiles/<profile>/cache2
Linux
/home/<user>/.mozilla/firefox/<profile>
/home/<user>/.cache/mozilla/firefox/<profile>/cache2
profiles.ini auf der übergeordneten Ebene ordnet jeden Profilnamen seinem
Verzeichnis zu. Hilfreich, wenn ein Benutzer mehrere Profile hat und Sie
das Standardprofil identifizieren müssen.
Was jede Datei enthält
| Datei | Format | Was enthalten ist |
|---|---|---|
places.sqlite | SQLite | moz_places, moz_historyvisits, moz_bookmarks, moz_annos (Downloads) |
cookies.sqlite | SQLite | moz_cookies (Werte im Klartext) |
formhistory.sqlite | SQLite | moz_formhistory |
favicons.sqlite | SQLite | moz_icons, moz_pages_w_icons |
webappsstore.sqlite | SQLite | LocalStorage (Origin → Schlüssel → Wert) |
logins.json + key4.db | JSON + NSS | Gespeicherte Anmeldedaten (mit Profilschlüssel verschlüsselt) |
sessionstore.jsonlz4 | mozLz4 + JSON | Aktuell geöffnete Tabs |
sessionstore-backups/recovery.jsonlz4 | mozLz4 + JSON | Aktuellste Sicherung |
sessionstore-backups/previous.jsonlz4 | mozLz4 + JSON | Tabs der letzten Sitzung |
prefs.js, user.js | Text | Konfiguration |
moz_annos lässt sich leicht übersehen; sie enthält die Download-Metadaten,
die Firefox nicht mehr in einer separaten downloads.sqlite speichert.
Filtern Sie über anno_attribute_id und joinen Sie gegen
moz_anno_attributes für den eigentlichen Attributnamen.
Zeitstempel und WAL
Firefox verwendet PRTime, also Mikrosekunden seit der Unix-Epoche, für die
meisten Spalten. Siehe
Browser-Zeitstempelformate für die
Ausnahmen pro Spalte in moz_cookies.
places.sqlite läuft im WAL-Modus. Ziehen Sie immer places.sqlite-wal
und places.sqlite-shm gemeinsam ein. Der
WAL-Recovery-Beitrag behandelt
das Checkpointing.
Hinweise zur Erfassung
- Die
.jsonlz4-Sitzungsdateien verwenden Mozillas LZ4-Variante (MagicmozLz40), nicht Standard-LZ4. Dekomprimieren Sie mit einem Parser, der den Header kennt, oder mitlz4json. key4.dbwird benötigt, umlogins.jsonzu entschlüsseln. Ohne das Master-Passwort des Benutzers (häufig leer) stellen Werkzeuge wiefirefox_decryptdie Zugangsdaten offline wieder her.- Cache2 ist ein inhaltsadressierter Cache. Der Dateiname jeder Datei ist ein SHA-1 der URL; die Metadaten stehen am Dateiende. Nützlich, wenn Sie belegen müssen, dass eine Seite gerendert und nicht nur besucht wurde.