Apple Spotlight Store
| Format | Apple Spotlight Store |
|---|---|
| Kurzname | Spotlight |
| Kategorie | Datenbank |
| Plattformen | macOS, iOS |
| Crush Unterstützung | Noch nicht unterstützt |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-05 |
Forensische Relevanz
Spotlight-Metadatenindizes von Apple, verwendet von macOS und iOS. Unter macOS liegen Stores meist unter /.Spotlight-V100/Store-V2/<UUID>/ und können die Dateien store.db und .store.db enthalten; unter iOS liegen CoreSpotlight-Indizes unter .../Library/Spotlight/CoreSpotlight/ (index.spotlightV2). Weitere Spotlight-/CoreSpotlight-Indizes können an benutzer- und anwendungsspezifischen Orten existieren. Der Store enthält Metadatensätze zu indizierten Dateisystemobjekten, darunter Dateinamen, Pfade oder pfadbezogene Informationen, Inhaltstypen, Erstellungs- und Änderungsdatum, Datum der letzten Verwendung, Autoren, Download-/Quellinformationen, URLs und weitere Metadaten; je nach Element und Index können auch Textinhalte oder durchsuchbare Inhaltsmetadaten vorhanden sein. Spotlight-Daten sind daher wertvoll, um Existenz und Metadaten von Dateien zu rekonstruieren, die im aktuellen Dateisystem nicht mehr vorhanden sind. Das Vorhandensein eines Indexdatensatzes allein beweist jedoch nicht, dass die zugehörige Datei zum Zeitpunkt der Sicherung noch existierte, und zeigt nicht, wie auf die Datei zugegriffen wurde. Spotlight-Stores sind proprietäre Datenbanken, und ihr genauer Inhalt hängt von der macOS-/iOS-Version und der Art des Index ab.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | 38 74 73 64 | 8tsd | Signatur '8tsd' am Anfang einer Spotlight-Store-Datenbank |
Bekannte Dateiendungen
Nicht erfasst
Referenzen
- Apple Spotlight store file formats (libyal/dtformats) https://github.com/libyal/dtformats/blob/main/documentation/Apple%20Spotlight%20store%20database%20file%20format.asciidoc
- spotlight_parser (Yogesh Khatri) https://github.com/ydkhatri/spotlight_parser
Diesen Eintrag zitieren
Crush-Format-Referenz, „Apple Spotlight Store“. https://kalink0.github.io/crush-forensics/formats/de/spotlight/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden