browserforensics
Zurück zu allen Artikeln

Speicherorte der Firefox-Verlaufsdateien

2026-05-19 · 2 min

Firefox-Profile liegen in einem zufällig benannten Verzeichnis unter Profiles/, typischerweise <random>.default-release bei einer Neuinstallation. Unter Windows ist der Cache zwischen Roaming und Local aufgeteilt; ein unauffälliges Detail, das Anwender erwischt, die nur Roaming kopieren und sich wundern, warum die Cache-Auswertung nichts ergibt.

Profilstammverzeichnis je Betriebssystem

Windows

C:\Users\<user>\AppData\Roaming\Mozilla\Firefox\Profiles\<profile>
C:\Users\<user>\AppData\Local\Mozilla\Firefox\Profiles\<profile>\cache2

macOS

/Users/<user>/Library/Application Support/Firefox/Profiles/<profile>
/Users/<user>/Library/Caches/Firefox/Profiles/<profile>/cache2

Linux

/home/<user>/.mozilla/firefox/<profile>
/home/<user>/.cache/mozilla/firefox/<profile>/cache2

profiles.ini auf der übergeordneten Ebene ordnet jeden Profilnamen seinem Verzeichnis zu. Hilfreich, wenn ein Benutzer mehrere Profile hat und Sie das Standardprofil identifizieren müssen.

Was jede Datei enthält

DateiFormatWas enthalten ist
places.sqliteSQLitemoz_places, moz_historyvisits, moz_bookmarks, moz_annos (Downloads)
cookies.sqliteSQLitemoz_cookies (Werte im Klartext)
formhistory.sqliteSQLitemoz_formhistory
favicons.sqliteSQLitemoz_icons, moz_pages_w_icons
webappsstore.sqliteSQLiteLocalStorage (Origin → Schlüssel → Wert)
logins.json + key4.dbJSON + NSSGespeicherte Anmeldedaten (mit Profilschlüssel verschlüsselt)
sessionstore.jsonlz4mozLz4 + JSONAktuell geöffnete Tabs
sessionstore-backups/recovery.jsonlz4mozLz4 + JSONAktuellste Sicherung
sessionstore-backups/previous.jsonlz4mozLz4 + JSONTabs der letzten Sitzung
prefs.js, user.jsTextKonfiguration

moz_annos lässt sich leicht übersehen; sie enthält die Download-Metadaten, die Firefox nicht mehr in einer separaten downloads.sqlite speichert. Filtern Sie über anno_attribute_id und joinen Sie gegen moz_anno_attributes für den eigentlichen Attributnamen.

Zeitstempel und WAL

Firefox verwendet PRTime, also Mikrosekunden seit der Unix-Epoche, für die meisten Spalten. Siehe Browser-Zeitstempelformate für die Ausnahmen pro Spalte in moz_cookies.

places.sqlite läuft im WAL-Modus. Ziehen Sie immer places.sqlite-wal und places.sqlite-shm gemeinsam ein. Der WAL-Recovery-Beitrag behandelt das Checkpointing.

Hinweise zur Erfassung

  • Die .jsonlz4-Sitzungsdateien verwenden Mozillas LZ4-Variante (Magic mozLz40), nicht Standard-LZ4. Dekomprimieren Sie mit einem Parser, der den Header kennt, oder mit lz4json.
  • key4.db wird benötigt, um logins.json zu entschlüsseln. Ohne das Master-Passwort des Benutzers (häufig leer) stellen Werkzeuge wie firefox_decrypt die Zugangsdaten offline wieder her.
  • Cache2 ist ein inhaltsadressierter Cache. Der Dateiname jeder Datei ist ein SHA-1 der URL; die Metadaten stehen am Dateiende. Nützlich, wenn Sie belegen müssen, dass eine Seite gerendert und nicht nur besucht wurde.

Weiterführende Lektüre