Erstellt von kalink0 (Marco Neumann) · Fertiggestellt am 2026-10-19 · Noch nicht von einer zweiten Person reviewed

DAM - Desktop Activity Moderator

Bedeutung

Der DAM ist ein Windowsdienst welcher gestartete Programme überwacht und kontrolliert. Ziel ist die Optimierung der Performance und des Energieverbrauchs. Die Daten werden nach 7 Tagen vom System gelöscht. Für den Nutzer wird die zugehörige SID gespeichert. Es wird der Pfad der Executable und der Zeitpunkt der letzten Ausführung gespeichert. Der DAM erhebt nur Daten auf mobilen Geräten (z.B. Tablets).

Aus digitalforensischer Sicht bedeuten Einträge des DAM, dass eine Applikation im Kontext des Nutzerkontos zu dem angegeben Zeitpunkt ausgeführt wurde.

Spezifische Kurzinformation

1. Verfügbarkeit: Eingeführt mit Windows 10 - Update 1709
2. Voraussetzungen: Wird ausschließlich bei mobilen Geräten/Tablets verwendet
3. Aufbewahrung: Die Daten liegen ca. 7 Tage vor.
4. Besonderheiten und Fallstricke: Applikationen, welche im Terminal gestartet wurden, werden NICHT geloggt. Applikationen, welche von externen Medien (z.B. USB-Sticks, Netzlaufwerke) gestartet wurden, werden NICHT geloggt.
5. Ablageort (Registry):
   ab Windows 10 1809: HKLM\SYSTEM\{CURRENT_CONTROL_SET}\Services\dam\state\UserSettings\{USER_SID}
   Windows 10 1709/1803: HKLM\SYSTEM\{CURRENT_CONTROL_SET}\Services\dam\UserSettings\{USER_SID}

Referenzen

2026-07: https://www.it-connect.tech/forensic-windows-part-5-analyzing-bam-and-dam/

2024-08: https://github.com/Psmths/windows-forensic-artifacts/blob/main/execution/bam-dam.md

Tools

Registry Explorer - https://ericzimmerman.github.io/