Erstellt von kalink0 (Marco Neumann) · Fertiggestellt am 2026-10-20 · Noch nicht von einer zweiten Person reviewed

Unified Logs¶

Bedeutung¶

Die Unified Logs sind seit iOS 10 bzw. macOS 10.12 das zentrale Protokollierungssystem von Apple und haben die älteren Textlogs (syslog, ASL) abgelöst. Nahezu alle Systemprozesse und viele Apps schreiben dort ihre Meldungen in verschiedenen Stufen (default, info, debug, error, fault). Gedacht sind sie für Entwickler und Apple selbst zur Fehlersuche; für den Nutzer haben sie keine direkte Funktion.

Aus digitalforensischer Sicht belegt ein Eintrag, dass ein bestimmter Prozess zum angegebenen Zeitpunkt die jeweilige Meldung protokolliert hat. Was eine Meldung über eine Nutzeraktion aussagt, hängt von der einzelnen Meldung ab und muss für jedes Ereignis gesondert untersucht sein. Nicht belegt ist dagegen, dass ein Vorgang nicht stattfand, wenn kein Eintrag vorhanden ist: Viele Werte sind als <private> geschwärzt, und ein Großteil der Einträge wird nach wenigen Tagen überschrieben.

Spezifische Kurzinformation¶

Die Unified-Logs können als logarchive gepackt werden. In diesem Schritt werden alle notwendigen Dateien zusammen in ein Archiv gelegt.

Eine einzelne tracev3 kann zwar auch gelesen werden, jedoch fehlen die genauen Zeitstempel (da abhängig von Boot-Time des Geräts - Monotonic Timestamps) und die OS Strings. Folgende Tabelle zeigt die Dateien/Ordner die für eine vollständige Anzeige notwendig sind.

.logarchive path	iOS full-FS path
`foo.logarchive/Persist/*.tracev3`	`private/var/db/diagnostics/Persist/*.tracev3`
`foo.logarchive/Special/*.tracev3`	`private/var/db/diagnostics/Special/*.tracev3`
`foo.logarchive/Signpost/*.tracev3`	`private/var/db/diagnostics/Signpost/*.tracev3`
`foo.logarchive/timesync/`	`private/var/db/diagnostics/timesync/`
`foo.logarchive/uuidtext/`	`private/var/db/uuidtext/` ← anderer Stammordner!

Die Logs rotieren nach Größe, nicht nach festen Tagen; der Großteil der Einträge bleibt nur wenige Tage erhalten, nur ein kleiner Teil 14 Tage oder länger - bei Relevanz schnellstmöglich sichern.
Ein sysdiagnose enthält einen deutlich kürzeren Zeitraum als die Logs auf dem Gerät (in Tests 2 statt 14 Tage)
Binärformat, komprimiert; die Dateien sind nicht direkt lesbar und müssen mit einem Parser oder log show auf einem Mac dekodiert werden
Sehr umfangreich, gezieltes Filtern ist für die Auswertung notwendig
Dekodiert vervielfacht sich die Datenmenge (in Tests aus rund 200 MB logarchive etwa 35 GB) - entsprechend Speicherplatz einplanen
Ablageort:
/private/var/db/diagnostics
/private/var/db/uuidtext