browserforensics
Zurück zu allen Artikeln

Aktuellen Verlauf aus SQLite-WAL-Dateien wiederherstellen

2026-05-19 · 1 min

Chrome und Firefox öffnen ihre SQLite-Datenbanken im WAL-Modus (Write-Ahead-Logging). Neue Transaktionen werden zuerst an eine <datenbank>-wal-Begleitdatei angehängt und erst später per Checkpoint in die Haupt-.db/.sqlite-Datei übertragen.

Warum das wichtig ist

Wenn Sie nur History (oder places.sqlite) kopieren und analysieren und History-wal ignorieren, fehlen unbemerkt die jüngsten Besuche, Downloads und Cookies — oft genau die Aktivität, die für eine Ermittlung zählt.

So vorgehen

  • Immer die -wal- (und -shm-)Dateien mit der Hauptdatei sichern.
  • Zusammen und mit gleichem Basisnamen aufbewahren.
  • Bestätigte WAL-Frames vor dem Abfragen in die Datenbank mergen.

Wie dieses Tool damit umgeht

Laden Sie den ganzen Profil-Ordner hoch (oder beide Dateien zusammen) und der Parser verknüpft History automatisch mit History-wal, merged die bestätigten Seiten zu einem konsistenten Snapshot und fragt diesen ab — aktuelle Einträge erscheinen ohne manuellen Checkpoint. Gleiches gilt für Firefox' places.sqlite-wal.