browserforensics
Zurück zu allen Artikeln

Speicherorte der Safari-Verlaufsdateien

2026-05-19 · 2 min

Modernes Safari sandboxt mehr seiner Daten als früher. Das klassische ~/Library/Safari existiert weiterhin, doch Cookies und Einstellungen sind in den com.apple.Safari-Container unter ~/Library/Containers/ gewandert. Erfassen Sie nur ~/Library/Safari, fehlen Ihnen die Cookies und ein Teil der Konfiguration.

Pfade (macOS)

/Users/<user>/Library/Safari/
/Users/<user>/Library/Containers/com.apple.Safari/Data/Library/Cookies/
/Users/<user>/Library/Containers/com.apple.Safari/Data/Library/Preferences/
/Users/<user>/Library/Containers/com.apple.Safari/Data/Library/Safari/

Bei iOS-Extraktionen aus einem Backup liegt der Safari-Verlauf unter HomeDomain/Library/Safari/.

Was jede Datei enthält

DateiFormatInhalt
History.dbSQLitehistory_items (URL + visit_count), history_visits (Zeilen pro Besuch)
History.db-wal, History.db-shmSQLite WALAktuelle Commits - sammeln, sonst verpassen Sie sie
Bookmarks.plistbplistLesezeichenbaum, Leseliste
Downloads.plistbplistDownload-Einträge (bis sie geleert werden)
LastSession.plistbplistFenster / Tabs beim letzten Beenden
RecentlyClosedTabs.plistbplistKürzlich geschlossen
Cookies.binarycookiesbinarycookiesApples eigenes Cookie-Format
com.apple.Safari.plistbplistEinstellungen, letzte Suchen
favicons.dbSQLiteFavicon-Metadaten + Bild-Blobs
WebpageIcons.dbSQLiteÄltere Favicon-Datenbank (vor Big Sur)
TopSites.plistbplistAngeheftete/Top-Seiten

history_visits.visit_time ist der Zeitstempel pro Besuch; history_items.last_visit_time spiegelt das Maximum. Verwenden Sie die Visits-Tabelle für Zeitleistenarbeit, nicht das aggregierte Item.

Zeitstempel

Safari verwendet Mac Absolute Time: Sekunden (oft mit Nachkommastellen) seit dem 01.01.2001 UTC. Umrechnung:

unix_seconds = mac_absolute + 978307200

Siehe Browser-Zeitstempelformate für die vollständige Referenz.

Schnellreferenz Cookie-Format

Cookies.binarycookies beginnt mit cook, dann einer Zählung, dann Seiten-Offsets, die auf Cookie-Datensätze zeigen. Jeder Datensatz hat einen festen 56-Byte-Header (Flags, Ablauf, Erstellung, vier String-Offsets), gefolgt von Name, Wert, Pfad, Domain-Strings. Beide Zeitstempel sind Mac Absolute Time als float64.

Hinweise zur Erfassung

  • Full Disk Access ist entscheidend. Ohne kann ein Werkzeug im Benutzerkontext den Safari-Container nicht lesen. Erstellen Sie ein Volume-Image oder verwenden Sie eine FileVault-fähige Erfassung.
  • Die Einträge der Reading List liegen innerhalb von Bookmarks.plist unter einer bestimmten Parent-UUID. Nützlich, wenn eine verdächtige Person eine Seite zum späteren Lesen gespeichert hat - ein deutlich stärkeres Absichtssignal als ein beiläufiger Besuch.
  • Korrelieren Sie mit über iCloud synchronisierten Tabs von anderen Geräten, wenn der iCloud-Account in Ihrem Untersuchungsbereich liegt.

Weiterführende Lektüre