Erstellt von kalink0 (Marco Neumann) · Fertiggestellt am 2026-10-21 · Noch nicht von einer zweiten Person reviewed

Spotlight Datenbank¶

Bedeutung¶

Spotlight ist die systemweite Suche von macOS. Damit der Benutzer Dateien schnell über Namen, Inhalt oder Eigenschaften findet, legt macOS für jedes indexierte Volume eine Datenbank mit den Metadaten und Textinhalten der Dateien an.

Aus digitalforensischer Sicht belegt ein Eintrag in der Spotlight-Datenbank, dass die Datei mit den gespeicherten Metadaten zum Zeitpunkt der Indexierung auf dem Volume vorhanden war. Einträge können auch nach dem Löschen der Datei noch vorhanden sein. Je nach Dateityp enthält ein Eintrag weitere Metadaten, z.B. zur Nutzung oder zur Herkunft eines Downloads; was diese belegen, hängt vom jeweiligen Attribut ab.

Spezifische Kurzinformation¶

Nur auf indexierten Volumes vorhanden; einzelne Ordner und Volumes können über die Datenschutz-Einstellungen von Spotlight ausgeschlossen sein
Je Store zwei Datenbanken: .store.db (aktuell) und store.db (zeitverzögert aktualisierte Kopie)
Einträge gelöschter Dateien bleiben eine Zeit lang in store.db erhalten; gelöschte Datenbankseiten lassen sich aus dem freien Speicher wiederherstellen
Von Apple nicht dokumentiertes Format mit komprimierten Seiten
Nicht jedes Datumsfeld ist ein echter Zeitstempel, teils stehen Platzhalterwerte (z.B. Jahr 2247)
Ablageort:

/Volumes/{VOLUME}/.Spotlight-V100/Store-V2/{UUID}/ (Root-Verzeichnis eines Laufwerks)

Startvolume ab macOS 10.15: /System/Volumes/Data/.Spotlight-V100/Store-V2/{UUID}/