Erstellt von kalink0 (Marco Neumann) · Fertiggestellt am 2026-10-22 · Noch nicht von einer zweiten Person reviewed

Biome¶

Bedeutung¶

Biome ist ein Framework von Apple, in dem macOS Informationen über die Nutzung des Geräts speichert, etwa App-Nutzung, Benachrichtigungen oder Medienwiedergabe. Daraus erstellt macOS Vorhersagen und Vorschläge, z.B. für Siri, proaktive Vorschläge und die Personalisierung des Systems. Seit macOS 13 hat Biome einen Großteil der Aufgaben von KnowledgeC übernommen. Die Daten sind in thematische Streams gegliedert, jeder Stream in einem eigenen Ordner mit Dateien im Format SEGB.

Aus digitalforensischer Sicht belegt ein Eintrag, dass macOS zum angegebenen Zeitpunkt das jeweilige Ereignis im betreffenden Stream erfasst hat; was das Ereignis über eine Nutzeraktion aussagt, hängt vom Stream ab. Einträge aus dem Unterordner remote stammen von anderen Geräten derselben Apple-ID und belegen nicht, dass das Ereignis auf dem untersuchten Gerät stattfand. Nicht belegt ist dagegen, dass ein Ereignis nicht stattfand, wenn kein Eintrag vorhanden ist.

Spezifische Kurzinformation¶

Biome ist ab macOS 12 aktiv in Nutzung, als Hauptquelle anstelle von KnowledgeC ab macOS 13
Es gibt Streams je Benutzer und systemweite Streams; am laufenden System sind die restricted-Streams nur mit erhöhten Rechten lesbar
Format SEGB (v1 und v2); Dateien ohne Endung, benannt nach dem Erstellungszeitpunkt; Inhalte meist Protobuf ohne veröffentlichtes Schema
Zeitstempel im Format Mac Absolute Time (Sekunden seit 2001-01-01, UTC)
Jeder Stream hat die Unterordner local und remote (Daten anderer Geräte derselben Apple-ID, je Gerät ein Ordner); abgelaufene Dateien liegen in local/tombstone
Gelöschte Einträge behalten Zeitstempel und Status, ihr Inhalt ist leer
Die Geräte hinter remote sind in /Users/{USER}/Library/Biome/sync/sync.db verzeichnet
Neben streams gibt es den Ordner sets mit SQLite-Datenbanken, z.B. zu installierten Apps oder Kontakten
Ablageorte:
/Users/{USER}/Library/Biome/streams/public/
/Users/{USER}/Library/Biome/streams/restricted/
/private/var/db/biome/streams/