Thumbnail Cache unter Windows

Einleitung

Thumbnail Caches sind spezielle Dateien, die unter Windows erstellt und verwendet werden, um Vorschaubilder von Dateien, wie bspw. von Bildern oder Videos, im Windows Explorer schneller anzeigen zu können. Diese Caches beinhalten kleine Vorschauversionen von Dateien, den sogenannten Thumbnails, um diese nicht bei jedem Öffnen eines Ordners neu generieren zu müssen. Damit wird dem Benutzer eine Vorschau des Inhalts der Datei ermöglicht, ohne diese öffnen zu müssen. Dies macht das Durchsuchen und Verwalten von Dateien erheblich effizienter.

Erstellung

Der Thumbnail Cache besteht aus einer Sammlung von Vorschaubildern, die automatisch erstellt werden, wenn ein Benutzer auf einen Ordner zugreift, der unterstützte Dateien enthält. Gleichzeitig wird bei jedem Ordnerzugriff überprüft, ob die Vorschaubilder bereits im Cache vorhanden sind. Sollte dies zutreffen, werden diese direkt aus dem Cache geladen, andernfalls neu generiert und im Cache abgelegt. Bei der Erstellung eines Thumbnails wird diesem eine eindeutige acht Byte lange ThumbnailcacheID zugeordnet, die zugleich den Namen des Thumbnails darstellt.

Speicherung und Dateiformate

Die Cache-Dateien werden in Abhängigkeit der verschiedenen Windows-Versionen in unterschiedlichen Verzeichnissen auf der lokalen Festplatte gespeichert. Seit Windows Vista befinden sich die Cache-Dateien zentralisiert im Verzeichnis "C:\Users\<Benutzername>\AppData\Local\Microsoft\Windows\Explorer" und werden als „thumbcache_*.db“ abgelegt, wobei die angegebene Zahl die Größe der gespeicherten Thumbnails in Pixeln angibt . In früheren Windows-Versionen werden sie hingegen als versteckte Dateien mit dem Namen „thumbs.db“ im selben Dateipfad wie die Originaldateien gespeichert. Die Cache-Dateien sind in einer Datenbankstruktur organisiert und besitzen die Endung „*.db“ (Database File Format). Die Thumbnails selbst werden im Dateiformat JPEG (Joint Photographic Experts Group), BMP (Windows Bitmap) oder PNG (Portable Network Graphics) gespeichert.

Abbildung 1 zeigt die Thumbnail Cache Dateien eines Windows 10 Benutzerkontos.

Abbildung 1: Thumbnail Cache Dateien eines Windows 10 Benutzerkontos

Abbildung 2 zeigt eine der verschiedenen Vorschaugrößen im Windows Explorer eines Windows 10 Betriebssystems. Wie zu erkennen, werden bei der Vorschauansicht Thumbnails der Bilddateien angezeigt.

Abbildung 2: Ansicht „Große Symbole“

Struktur und Inhalt

Die Struktur der Datenbank umfasst eine Tabelle für Thumbnails. Diese enthält neben den eigentlichen Bilddaten der Thumbnails einen Index, der schnelle Zugriffe und die Verknüpfung von Dateipfaden und anderer Metadaten mit den gespeicherten Thumbnails ermöglicht, sowie die Metadaten selbst. Metadaten enthalten bspw. Informationen wie den Dateinamen, den Pfad zur Originaldatei, die Zeit des letzten Zugriffs und die Größe der Datei. Wenn eine Datei geändert oder gelöscht wird, kann das Betriebssystem anhand der Metadaten erkennen, ob das dazugehörige Vorschaubild im Cache aktualisiert oder entfernt werden muss.

Tabelle 1 zeigt einen Überblick über den Thumbnail Cache seit seiner Einführung. Zu jeder Windows-Version wird angegeben, ob es sich bei der jeweiligen Cache-Datei um die thumbs.db oder um die thumbcache_*.db Datenbank handelt. Weiterhin wird ein Überblick darüber geboten, wo der Thumbnail Cache in Windows gespeichert wird und welche Metadaten er enthält.

Tabelle 1: Thumbnail Cache in Windows

Bedeutung in der Digitalen Forensik

Inkriminierte Bilddateien werden häufig mit Verbrechen wie Sexualdelikten, Drogendelikten, Waffendelikten oder Insider-Bedrohungen in Verbindung gebracht. Der Thumbnail Cache wurde dabei in Gerichtsverhandlungen als Beweismittel genutzt. Im Fall „Vereinigte Staaten von Amerika gegen S. Room“ (2006) wurde der Begriff „Thumbnail“ in der Rechtsprechung wie folgt definiert: „Der Begriff Thumbnail, der sich von der Skizze eines Künstlers ableitet, bezieht sich auf ein kleines Bild einer Grafikdatei, das angezeigt wird, um deren Identifizierung zu erleichtern.“

Bei der forensischen Untersuchung stehen den Ermittlern verschiedene Vorgehensweisen zur Verfügung. Zum einen kann mit Hilfe von Filtern innerhalb verschiedener forensischer Programme, wie z.B. EnCase oder X-Ways Forensics, eine rekursive Suche nach allen auf dem Betriebssystem gespeicherten Bilddateien durchgeführt werden. Zum anderen kann gezielt nach Bilddateien in einem bestimmten Benutzerverzeichnis gesucht werden, was einen guten Anhaltspunkt bei der Suche und Lokalisierung von inkriminierten Bilddateien bietet.

Da der Thumbnail Cache nutzerbezogen ist, hat jedes Windows Benutzerkonto seinen eigenen Cache. Gespeicherte Thumbnails stammen daher vermutlich von Dateien, die der Nutzer selbst verarbeitet hat und die wichtige Einblicke in das Verhalten eines Nutzers bieten. Viele Nutzer wissen nicht, dass der Thumbnail Cache existiert. Und da der Cache nicht automatisch aktualisiert wird, bleiben Thumbnails inkriminierter Dateien selbst dann erhalten, wenn die Originaldateien gelöscht wurden. Erst das manuelle Löschen des Thumbnail Caches oder die Verwendung der Windows Datenträgerbereinigung mit entsprechender Option entfernen diese. Das komplette Unterbinden des Zwischenspeicherns von Thumbnails ist seit Windows 8 nicht mehr möglich .