FAT32

Format	FAT32
Kurzname	FAT32
Kategorie	Dateisystem
Plattformen	Windows, macOS, Linux, iOS, Android, QNX
Crush Unterstützung	Unterstützt `(RawImageVFS)`
Status	Überprüft
Zuletzt überprüft	2026-10-12

Forensische Relevanz

Das 32-Bit-Dateisystem File Allocation Table, verwendet auf USB-Sticks, SD-Karten, Kameramedien, EFI-Systempartitionen und SD-Karten von Android-Geräten. Verzeichniseinträge enthalten einen 8.3-Namen (plus Einträge für lange Namen), Attribute, Größe, ersten Cluster sowie Erstellungs-, Änderungs- und Zugriffszeit in Ortszeit mit einer Auflösung von 10 ms (Erstellung), 2 Sekunden (Änderung) und einem Tag (Zugriff). Ein gelöschter Eintrag behält die meisten Felder, das erste Byte des Namens wird auf 0xE5 gesetzt, die Cluster-Kette in der FAT wird aber geleert. Eine Wiederherstellung über den ersten Cluster hinaus setzt daher voraus, dass die Datei zusammenhängend gespeichert war.

Signaturen

Offset	Hex	ASCII (nicht druckbar als .)	Beschreibung
Offset 82 (0x52)	46 41 54 33 32 20 20 20	FAT32	Dateisystem-Typ-String 'FAT32 ' im Bootsektor
Offset 82 (0x52)	54 46 41 54 33 32 20 20	TFAT32	Dateisystem-Typ-String 'TFAT32 ' im Bootsektor (transaktionssicheres FAT von Windows CE)

Bekannte Dateiendungen

Nicht erfasst

Referenzen

File Allocation Table (FAT) format (libyal/libfsfat) https://github.com/libyal/libfsfat/blob/main/documentation/File%20Allocation%20Table%20(FAT)%20format.asciidoc
ForensicsWiki — FAT https://forensics.wiki/fat/
abrignoni/qnxprobe — MBR/GPT, LVM2 and filesystem reader for raw images (QNX6/QNX4, ETFS, EFS, ext2/3/4, F2FS, FAT32/16/12, exFAT, NTFS, HFS+, APFS, QNX IFS, SquashFS, JFFS2, UBI/UBIFS, YAFFS) https://github.com/abrignoni/qnxprobe

Diesen Eintrag zitieren

Crush-Format-Referenz, „FAT32“. https://kalink0.github.io/crush-forensics/formats/de/fat32/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.

Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden