Was ist die AmCache-Hive und was sie über Sie aufzeichnet

Windows führt über jedes gestartete Programm ein stilles Protokoll — nicht in der Browser-Historie, die Sie löschen, sondern in einer Registry-Hive namens AmCache. Forensiker lieben sie aus gutem Grund, und Sie sollten zumindest wissen, dass es sie gibt: „Verlauf löschen“ im Browser berührt diese Datei nämlich überhaupt nicht.

Was AmCache konkret aufzeichnet

Die Hive liegt unter C:\Windows\appcompat\Programs\Amcache.hve und gehört zur Anwendungs-Kompatibilitätsinfrastruktur, die mit Windows 8 kam (Windows 7 erledigte dasselbe über eine Datei namens RecentFileCache.bcf). Jede gestartete ausführbare Datei erhält einen Eintrag: vollständiger Pfad, SHA-1-Hash der Binärdatei, Größe, Zeitstempel, digitale Signatur und Herausgeber sowie Details aus dem PE-Header wie die Linkzeit — wann das Programm tatsächlich kompiliert wurde. Weitere Bereiche inventarisieren installierte Software, Treiber und Geräte: DeviceContainer-Einträge erfassen USB-Geräte samt Zeitpunkt der ersten Verbindung.

Das ist keine Malware. Es ist die Kompatibilitätsdatenbank bei der Diagnose — derselbe Mechanismus, über den Windows Programm für Programm Kompatibilitätsfixes anwendet. Aber dieselbe Vollständigkeit macht AmCache zum ergiebigsten Artefakt der Ausführungshistorie auf dem System: Bei Incident-Response wird damit routinemäßig belegt, dass ein bestimmtes Programm an einem bestimmten Tag von einem bestimmten Laufwerk lief. Die Browser-Historie deckt Ihr Surfen ab; diese Datei deckt alles andere ab.

C:\Windows\appcompat\Programs\Amcache.hve — die Hive selbst, gesperrt, solange Windows läuft
Root\InventoryApplicationFile — jedes gestartete Programm: Pfad, SHA-1, Größe, Herausgeber, Linkzeit
Root\InventoryApplication — installierte Software, wie das Kompatibilitäts-Subsystem sie sieht
Root\DeviceContainer — USB-Geräte mit Zeitstempeln der ersten Verbindung
Amcache.hve.LOG1 / .LOG2 — Transaktionsprotokolle mit Kopien derselben Einträge

Löschen ist schwieriger — und weniger nützlich — als gedacht

Im laufenden System lässt sich die Hive nicht löschen: Die Registry hält die Datei offen, und nach dem nächsten Start baut Windows sie ohnehin neu auf. Offline löschen — aus der Wiederherstellungsumgebung oder per reg load von einem anderen System aus — funktioniert und zerstört nichts, aber es lichtet die Spur kaum. Dieselbe Ausführungshistorie überlebt im ShimCache (AppCompatCache) in der SYSTEM-Hive, in Prefetch-Dateien unter C:\Windows\Prefetch mit eigenen Startzeitstempeln, in der SRUM-Datenbank mit stündlicher Ressourcenbilanz pro Programm, in UserAssist-Zählern in der NTUSER.DAT jedes Benutzers und in gewöhnlichen Jump Lists und LNK-Dateien. AmCache ist ein Zeuge von sechs, nicht die ganze Akte.

Deshalb zählt die ehrliche Einordnung: Lesen kann AmCache nur, wer Administratorrechte hat, und das realistische Bedrohungsmodell ist Forensik, Incident Response oder jemand mit Admin-Zugriff, der nachträglich durch die Maschine geht. Für die alltägliche Privatsphäre beim Surfen reicht Browser-Hygiene. Für einen Rechner, den Sie verkaufen oder ausmustern, ersetzt kein chirurgisches Löschen von Artefakten eine saubere Neuinstallation oder das Löschen der Platte — das ist die einzige Antwort, die alle sechs Zeugen auf einmal beseitigt.

Fragen und Antworten

Wie kann ich meine AmCache-Historie ansehen?

Kopieren Sie die Hive aus C:\Windows\appcompat\Programs (die Datei ist gesperrt, ein erhöhter Prompt ist nötig) und werten Sie sie mit einem Tool wie AmcacheParser aus, das eine Tabelle aller erfassten Starts mit Pfaden, Hashes und Zeitstempeln erzeugt.

Kann ich Amcache.hve bedenkenlos löschen?

Im laufenden Windows nicht — die Datei ist belegt. Aus der Wiederherstellungsumgebung lässt sie sich löschen, und Windows baut eine neue; nichts geht kaputt, aber dieselbe Start-Historie überlebt in Prefetch, ShimCache und SRUM — Privatsphäre ist das also keine.