browserforensics
← Zurück zu allen Artikeln

Wo Browser ihre Artefakte speichern

2026-05-18 · 2 min

Die meisten nutzerseitigen Browserdaten liegen als SQLite vor. Das ist eine gute Nachricht: Sie können die Datenbanken schreibgeschützt öffnen und abfragen, ohne den laufenden Browser zu berühren. Lesezeichen, Sitzungen und Einstellungen liegen meist als JSON- oder plist-Beidateien vor, und der Web-App-Zustand (LocalStorage, IndexedDB) in LevelDB-Ordnern. Zu wissen, welche Datei was enthält, spart Zeit, wenn Sie unter Druck ein Profilverzeichnis durchgehen.

Chromium-Familie (Chrome, Edge, Brave, Vivaldi, Opera)

Innerhalb des Profilverzeichnisses (Default, Profile 1, …):

  • History - urls, visits, downloads, downloads_url_chains, keyword_search_terms.
  • Cookies - in neueren Builds nach Network/Cookies verschoben. Die Werte sind AES-GCM-Chiffretext, verschlüsselt mit DPAPI unter Windows und dem Keychain unter macOS.
  • Web Data - autofill, autofill_profiles, Zahlungsmethoden.
  • Login Data - logins. Benutzername im Klartext, Passwort als Chiffretext.
  • Top Sites, Favicons - SQLite.
  • Bookmarks, Preferences, Secure Preferences - JSON.
  • Local Storage/leveldb/, Session Storage/, IndexedDB/<origin>.indexeddb.leveldb/ - LevelDB-Key-Value-Speicher. Siehe Local Storage und IndexedDB.

Die Zeitstempel in diesen SQLite-Dateien sind Mikrosekunden seit dem 01.01.1601 UTC, mit der einzigen Ausnahme von autofill, das Unix-Sekunden verwendet.

Firefox

Das Profil liegt unter einem zufällig benannten Ordner (xxxxxxxx.default-release).

  • places.sqlite - Verlauf (moz_places, moz_historyvisits), Lesezeichen (moz_bookmarks), Download-Annotationen.
  • cookies.sqlite - moz_cookies. Werte im Klartext.
  • formhistory.sqlite, favicons.sqlite, webappsstore.sqlite.
  • logins.json plus key4.db - Anmeldedaten, verschlüsselt mit dem Profilhauptschlüssel (oft leer, oft wiederherstellbar).
  • sessionstore.jsonlz4, recovery.jsonlz4 - in Mozilla-LZ4 verpacktes JSON der offenen und kürzlich geschlossenen Tabs.

Firefox-Zeitstempel sind Mikrosekunden seit der Unix-Epoche. Die Ausnahme ist moz_cookies.expiry: einfache Sekunden.

Safari

Verteilt zwischen ~/Library/Safari und dem com.apple.Safari-Container.

  • History.db - history_items, history_visits.
  • Bookmarks.plist, Downloads.plist, LastSession.plist, RecentlyClosedTabs.plist - binäre plists.
  • Cookies.binarycookies - Apples eigenes Cookie-Format. Werte im Klartext.
  • favicons.db, Touch Icons Cache.db - SQLite.

Safari verwendet Mac Absolute Time: Sekunden (oft mit Nachkommastellen) seit dem 01.01.2001 UTC.

Was wann zu erfassen ist

Für eine Profilerfassung kopieren Sie den gesamten Profilordner samt seinen -wal- und -shm-SQLite-Beidateien. Aktuelle Commits liegen im WAL; überspringen Sie es, verpassen Sie die letzten Minuten Aktivität, was häufig genau das ist, worauf es ankommt. Der WAL-Recovery-Beitrag erklärt die Mechanik.

Korrelieren Sie Cookies und Verlauf mit der MFT für dateibezogene Zeitstempel, dem USN-Journal für Lösch-/Umbenennungshistorie und EVTX (Microsoft-Windows-Application-Experience, PowerShell 4104) für jegliche skriptbasierte Aufräumaktion gegen das Profil.

Weiterführende Lektüre