Erstellt von kalink0 (Marco Neumann) · Fertiggestellt am 2026-10-21 · Noch nicht von einer zweiten Person reviewed

FSEvents¶

Bedeutung¶

FSEvents (File System Events) ist ein systemnahes Framework in Apple Betriebssystemen, welches dafür entwickelt wurde, sämtliche Änderungen im Dateisystem in Echtzeit zu protokollieren. Es werden Erstellung, Änderung (Inhalt und Metadaten), Umbenennung und Löschung von Dateien und Ordnern mit den zugehörigen Dateinamen und Dateipfaden protokolliert. Lesende Zugriffe werden nicht erfasst.

Aus digitalforensischer Sicht lassen sich anhand von Einträgen des FSEvents Aussagen zu Aktionen im Dateisystem treffen bezogen auf Dateinamen und Dateipfad. Über die fortlaufenden Event-IDs lässt sich die Reihenfolge der ersten Änderung verschiedener Objekte bestimmen. Mehrere Änderungen am selben Objekt werden jedoch zu einem Eintrag zusammengefasst; deren Reihenfolge und Häufigkeit sind nicht bestimmbar. Anhand der Daten können auch Aussagen über ehemals existierende Dateien und Ordner getroffen werden. Es lassen sich keine Aussagen zu dem Inhalt der Dateien oder den Akteuren treffen.

Spezifische Kurzinformation¶

Die Zeitstempel sind NICHT direkt enthalten in der Ablage des FSEvents. Die Dateien, welche bis zu 5000 Events enthalten, haben aber selbst einen Zeitstempel, der den Zeitraum eingrenzt.
Es gibt zusätzlich zur Ablage im Dateisystem einen Puffer im Arbeitsspeicher - dies bedeutet, dass die Most Recent File Changes ggf. noch nicht auf den Datenträger geschrieben sind im laufenden System. Bei Absturz, Hard-Reset, unsauberem Aushängen des Volumes oder System-Upgrade gehen die Events im Puffer verloren.
Ablageort (Root-Verzeichnis jeder Partition):
/.fseventsd
Data-Volume ab macOS 10.15: /System/Volumes/Data/.fseventsd