Speicherorte der Safari-Verlaufsdateien
2026-05-19 · 2 min
Modernes Safari sandboxt mehr seiner Daten als früher. Das klassische
~/Library/Safari existiert weiterhin, doch Cookies und Einstellungen sind
in den com.apple.Safari-Container unter ~/Library/Containers/
gewandert. Erfassen Sie nur ~/Library/Safari, fehlen Ihnen die Cookies und
ein Teil der Konfiguration.
Pfade (macOS)
/Users/<user>/Library/Safari/
/Users/<user>/Library/Containers/com.apple.Safari/Data/Library/Cookies/
/Users/<user>/Library/Containers/com.apple.Safari/Data/Library/Preferences/
/Users/<user>/Library/Containers/com.apple.Safari/Data/Library/Safari/
Bei iOS-Extraktionen aus einem Backup liegt der Safari-Verlauf unter
HomeDomain/Library/Safari/.
Was jede Datei enthält
| Datei | Format | Inhalt |
|---|---|---|
History.db | SQLite | history_items (URL + visit_count), history_visits (Zeilen pro Besuch) |
History.db-wal, History.db-shm | SQLite WAL | Aktuelle Commits - sammeln, sonst verpassen Sie sie |
Bookmarks.plist | bplist | Lesezeichenbaum, Leseliste |
Downloads.plist | bplist | Download-Einträge (bis sie geleert werden) |
LastSession.plist | bplist | Fenster / Tabs beim letzten Beenden |
RecentlyClosedTabs.plist | bplist | Kürzlich geschlossen |
Cookies.binarycookies | binarycookies | Apples eigenes Cookie-Format |
com.apple.Safari.plist | bplist | Einstellungen, letzte Suchen |
favicons.db | SQLite | Favicon-Metadaten + Bild-Blobs |
WebpageIcons.db | SQLite | Ältere Favicon-Datenbank (vor Big Sur) |
TopSites.plist | bplist | Angeheftete/Top-Seiten |
history_visits.visit_time ist der Zeitstempel pro Besuch;
history_items.last_visit_time spiegelt das Maximum. Verwenden Sie die
Visits-Tabelle für Zeitleistenarbeit, nicht das aggregierte Item.
Zeitstempel
Safari verwendet Mac Absolute Time: Sekunden (oft mit Nachkommastellen) seit dem 01.01.2001 UTC. Umrechnung:
unix_seconds = mac_absolute + 978307200
Siehe Browser-Zeitstempelformate für die vollständige Referenz.
Schnellreferenz Cookie-Format
Cookies.binarycookies beginnt mit cook, dann einer Zählung, dann
Seiten-Offsets, die auf Cookie-Datensätze zeigen. Jeder Datensatz hat einen
festen 56-Byte-Header (Flags, Ablauf, Erstellung, vier String-Offsets),
gefolgt von Name, Wert, Pfad, Domain-Strings. Beide Zeitstempel sind Mac
Absolute Time als float64.
Hinweise zur Erfassung
- Full Disk Access ist entscheidend. Ohne kann ein Werkzeug im Benutzerkontext den Safari-Container nicht lesen. Erstellen Sie ein Volume-Image oder verwenden Sie eine FileVault-fähige Erfassung.
- Die Einträge der
Reading Listliegen innerhalb vonBookmarks.plistunter einer bestimmten Parent-UUID. Nützlich, wenn eine verdächtige Person eine Seite zum späteren Lesen gespeichert hat - ein deutlich stärkeres Absichtssignal als ein beiläufiger Besuch. - Korrelieren Sie mit über iCloud synchronisierten Tabs von anderen Geräten, wenn der iCloud-Account in Ihrem Untersuchungsbereich liegt.