Erstellt von kalink0 (Marco Neumann) · Fertiggestellt am 2026-10-19 · Noch nicht von einer zweiten Person reviewed

LNK - JumpLists¶

Bedeutung¶

JumpLists werden seit Windows 7 im Betriebssystem verwendet. JumpLists zeigen dem Benutzer zuletzt geöffnete Dateien und zuletzt verwendete Programme zum Beispiel im Startmenü an. Die Funktion dient der Erhöhung der Benutzerfreundlichkeit und wird vom Betriebssystem selbst ausgeführt anhand der Bedienung des Benutzers.

Ein Benutzer kann auch selbst Einträge an z.B. das Startmenü "anpinnen" - diese Funktion dient ebenfalls der Benutzerfreundlichkeit und die Ablage erfolgt ebenfalls in JumpLists. Man kann diese Funktion als setzen von "Favoriten" bezeichnen. Zusätzlich werden bei den automatisch generierten Einträgen die Zeitstempel des letzten Zugriffs gespeichert und die Anzahl der Zugriffe.

Aus digitalforensischer Sicht bedeutet die Existenz von Jumplists folgendes:

Bei den automatisch generierten Einträgen:
Der Nutzeraccount hat zum angegeben Zeitpunkt (Zuletzt zugegriffen) zuletzt die angegebene Zieldatei (gemäß dem Dateinamen) aufgerufen/gestartet.
Der Nutzeraccount hat zum angegeben Zeitpunkt (Erstelldatum) die Datei/das Programm zum ersten Mal aufgerufen. Das System hat somit den Eintrag erstellt.
Bei den manuell angelegten Einträgen:
Der Nutzeraccount hat zum angegeben Zeitpunkt (Zuletzt zugegriffen) zuletzt die angegebene Zieldatei (gemäß dem Dateinamen) aufgerufen/gestartet.
Der Nutzeraccount hat zum angegeben Zeitpunkt (Erstelldatum) die Datei/das Programm aktiv "angepinnt". Dies kann auch im Zuge einer Programminstallation durchgeführt werden.

Spezifische Kurzinformation¶

JumpLists werden Apps zugeordnet, welche per AppID identifiziert werden können (Listen siehe unten) - eine AppID gibt an, in welchem Kontext die JumpList vorliegt und gibt daher Info darüber, wie der Nutzeraccount die Aktion durchgeführt hat.
Die Anzahl der Aufrufe (Interaction Account) ist nach derzeitigem Stand nicht genau erklärbar/nachvollziehbar und daher ist der Wert mit Vorsicht zu behandeln.
Ablageort:

%AppData%\Microsoft\Windows\Recent\AutomaticDestinations

%AppData%\Microsoft\Windows\Recent\CustomDestinations