Erstellt von kalink0 (Marco Neumann) · Fertiggestellt am 2026-10-19 · Noch nicht von einer zweiten Person reviewed

AmCache - Application Activity Cache¶

Bedeutung¶

Der AmCache ist Teil der Kompatibilitätsinfrastruktur von Windows. Er speichert Informationen zu Programmdateien (Executables, DLLs), installierten Anwendungen sowie Geräten und Treibern. Ziel ist es, die Kompatibilität von Programmen und Treibern regelmäßig zu überprüfen und so eine schnelle und komplikationsfreie Ausführung zu gewährleisten. Die Einträge werden unter anderem durch einen geplanten Task (Microsoft Compatibility Appraiser) erstellt und aktualisiert.

Aus digitalforensischer Sicht belegt ein Eintrag, dass die Applikation bzw. der Treiber zum Zeitpunkt der Erfassung für das System erreichbar war, lokal, auf einem Wechseldatenträger oder auf einem Netzlaufwerk. Einträge liefern zudem Identifikationsmerkmale wie Hashwerte, Pfade und Signatur. Nicht belegt ist dagegen, dass die Applikation bzw. der Treiber ausgeführt wurde, und ebenso wenig, dass der Zeitstempel eines Eintrags dem Zeitpunkt entspricht, zu dem die Datei auf das System gelangt ist.

Spezifische Kurzinformation¶

Verfügbarkeit: nativ ab Windows 8; unter Windows 7 durch Updates nachgerüstet (davor RecentFileCache.bcf)
Voraussetzungen: standardmäßig aktiv
Format und Struktur: Registry-Hive; Aufbau abhängig von Windows-Version und Update-Stand
Zeitstempel: FILETIME, UTC; LastWrite-Zeit eines Eintrags = letzte Aktualisierung, nicht Ausführung
Besonderheiten und Fallstricke: SHA1 bei großen Dateien nur über die ersten 30 MB; Transaktionslogs (.LOG1/.LOG2) einbeziehen
Ablageort:
C:\Windows\AppCompat\Programs\Amcache.hve