Erstellt von kalink0 (Marco Neumann) · Fertiggestellt am 2026-10-20 · Noch nicht von einer zweiten Person reviewed

VSS - Volume Shadow Copy Service¶

Bedeutung¶

Das Betriebssystem Microsoft Windows verfügt seit der Version Windows Vista für das Dateisystem NTFS über den Mechanismus des Volume Shadow Copy Services (VSS). Diese Funktion ermöglicht es Nutzern ehemals existierende Dateien und ehemalige Versionen von Dateien wiederherzustellen.

Aus digitalforensischer Sicht bedeutet dies, dass ehemals existierende Dateien und/oder ehemalige Versionen von Dateien in diesen Volume Shadow Copies vorliegen können. Wenn eine Datei sich in einer Volume Shadow Copy befindet, kann aus digitalforensischer Sicht gesagt werden, von wann dieser "Snapshot" der Datei stammt. Damit kann ausgedrückt werden wann diese Datei auf dem System in dieser Version vorgelegen hat.

Spezifische Kurzinformation¶

Unter Windows 10/11 ist der Systemschutz standardmäßig nicht aktiviert
Erstellung u.a. bei Softwareinstallation, Windows-Update oder manuellem Wiederherstellungspunkt
Ist der reservierte Speicherplatz voll, wird die älteste Schattenkopie gelöscht
Ablageort: {DRIVE}:\System Volume Information\{GUID}{3808876b-c176-4e48-b7ae-04046e6cc752}