Erstellt von kalink0 (Marco Neumann) · Fertiggestellt am 2026-10-20 · Noch nicht von einer zweiten Person reviewed

Thumbcache¶

Bedeutung¶

Das Betriebssystem Microsoft Windows bringt die Funktion des Thumbnail Caches mit um Benutzern eine bessere Bedienung anbieten zu können, wenn diese z.B. im Windows Explorer navigieren und Dateien suchen oder anschauen möchten. Der Thumbnail Cache verringert die Ladezeiten von Dateien indem Vorschaubilder generiert werden, die schnell geladen werden können, wenn der Benutzer des Systems im Windows Explorer die Dateien anzeigen möchte oder in einem Ordner navigiert. Die Vorschaubilder zeigen den Inhalt oder einen Teil des Inhalts der Originaldatei in reduzierter Größe.

Aus digitalforensischer Sicht kann anhand der Existenz einer Datei im Thumbnail Cache gesagt werden, dass die Originaldatei auf einem aktiv oder ehemals angeschlossenen Datenträger (auch Netzlaufwerk) gespeichert war oder ist. Anhand des Thumbnail Caches alleine kann nicht genau gesagt werden, was genau ein Nutzer mit der Datei gemacht hat. Zum Beispiel ob der Nutzer die Datei aktiv angeschaut, kopiert oder anderweitig genutzt hat.

Spezifische Kurzinformation¶

Originalpfad kann unter bestimmen Umständen ermittelt werden (siehe zusätzliche Hinweise)
Ablageort: %LOCALAPPDATA%\Microsoft\Windows\Explorer\thumbcache_*.db

Zusätzliche Hinweise (Forensik)¶

Pfad zur Originaldatei¶

Der Originalpfad der Datei ist nicht im Thumbnail Cache gespeichert. Es gibt mehrere Möglichkeiten um die Originaldatei, wenn möglich, zu finden.

Berechnung der ThumbnailCacheID aller vorliegenen Dateien und Abgleich mit der ThumbnailCacheIDs im Thumbnail Cache.
Prüfen der Windows Search (Windows.edb, ab Windows 11 Windows.db) auf die ThumbnailCacheID aus dem Thumbnail Cache.
Prüfen aller vorliegenden Dateien auf visuelle Gleichheit

Für die Vorgehensweisen 1 und 3 muss die Originaldatei im Datenbestand noch vorliegen. Die Berechnung der ThumbnailCacheID (Vorgehensweise 1) muss auf demselben System erfolgen, auf dem der Thumbnail Cache entstanden ist.

Für die ältere Version, die thumbs.db, ergibt sich der Originalpfad der Datei aus dem Ort der thumbs.db selbst. Diese thumbs.db wird im jeweiligen Ordner der Originaldatei erzeugt. Bei Netzwerkordnern wird die thumbs.db auch in aktuellen Windows-Versionen weiterhin erzeugt.