Windows Thumbnail Cache
| Format | Windows Thumbnail Cache |
|---|---|
| Kurzname | Thumbcache |
| Kategorie | Datenbank |
| Plattformen | Windows |
| Crush Unterstützung | Noch nicht unterstützt |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Die Miniaturansicht-Datenbanken des Explorers (thumbcache_*.db mit einer Indexdatei thumbcache_idx.db unter %LOCALAPPDATA%\Microsoft\Windows\Explorer\, Windows Vista bis Windows 11). Jeder Eintrag enthält ein Vorschaubild, das über eine Cache-ID zugeordnet ist, aber keinen Dateinamen. Der ursprüngliche Pfad lässt sich wiederherstellen, indem man die ThumbnailCacheId mit dem Index von Windows Search abgleicht. Vorschaubilder können erhalten bleiben, nachdem die ursprünglichen Bilder, Videos oder Dokumente gelöscht wurden oder wenn sie auf einem Wechseldatenträger oder Netzlaufwerk lagen.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | 43 4D 4D 4D | CMMM | Signatur der Cache-Datei 'CMMM' |
| Offset 0 (0x0) | 49 4D 4D 4D | IMMM | Signatur der Indexdatei 'IMMM' |
Bekannte Dateiendungen
.db
Referenzen
- Windows Explorer Thumbnail Cache database format (libyal/libwtcdb) https://github.com/libyal/libwtcdb/blob/main/documentation/Windows%20Explorer%20Thumbnail%20Cache%20database%20format.asciidoc
- ForensicsWiki — Windows thumbcache https://forensics.wiki/windows_thumbcache/
Diesen Eintrag zitieren
Crush-Format-Referenz, „Windows Thumbnail Cache“. https://kalink0.github.io/crush-forensics/formats/de/thumbcache/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden