Erstellt von kalink0 (Marco Neumann) · Fertiggestellt am 2026-10-20 · Noch nicht von einer zweiten Person reviewed

USN Journal¶

Bedeutung¶

Das USN (Update Sequence Number) - Journal wid vom Windows Betriebssystem für NTFS-Dateisysteme geschrieben. Es enthält Informationen zu ausgeführten Befehlen bezogen auf Dateien. Zum Beispiel "Datei erstellt", "Datei gelöscht", Datei vergrößert/verkleinert".

Je nach Aktitivät auf der NTFS-Partition liegen Daten für bis zu mehreren Wochen vor.

Aus digitalforensischer Sicht kann gesagt werden, dass Einträge im USN Journal bedeuten, dass die aufgeführten Aktionen zu dem angegebenen Zeitpunkt auf den aufgeführten Dateien ausgeführt wurden. Es liegen hier der Dateiname und der Verweis zum Dateipfad im USN Journal vor.

Spezifische Kurzinformation¶

USN Journal ist seit Windows Vista standardmäßig aktivert
Um die Pfade einer Datei ebenfalls zu erhalten, müssen die Daten mit den Einträgen der MFT korreliert werden
Maximale Größe liegt standardmäßig bei 30 - 40 MB (logische Dateigröße von $J durch Sparse-Bereich deutlich größer) - je nach Verwendung der Partition kann man 1 - 2 Wochen in die Vergangenheit schauen
Ablageort (Im Root-Verzeichnis einer NTFS-Partition): \$Extend\$UsnJrnl

$J - Alternate Data Stream - beinhaltet das eigentliche Journal

$Max - Alternate Data Stream - beinhaltet Metadaten zur maximalen Größe des Journals