Not yet available in English

This page does not exist in English yet. Shown is the version in Deutsch.

Written by kalink0 (Marco Neumann) · Completed on 2026-10-19 · Not yet reviewed by a second person

Windows Registry¶

Bedeutung¶

Die Windows Registry ist die zentrale Konfigurationsdatenbank von Windows-Betriebssystemen. Sie enthält u.a. Daten zu Benutzerprofilen, Systemhardware, installierten Programmen, Netzwerkverbindungen, Spuren angeschlossener USB-Geräte und zuletzt geöffneten Dateien.

Die digitalforensische Bedeutung der jeweiligen Daten muss individuell nach Schlüssel/Typ bewertet werden – die Registry ist kein einzelnes Artefakt, sondern ein Container für eine Vielzahl unabhängiger forensischer Fragestellungen.

Spezifische Kurzinformation¶

Man unterscheidet Hives mit eigener Backing-File im Dateisystem und Root Keys, die zur Laufzeit vom System zusammengesetzt werden und keine eigene Datei besitzen:
HKEY_CURRENT_USER (HKCU) ist ein Alias auf HKEY_USERS\{USER_SID}. In einem Offline-Image sind die einzelnen NTUSER.DAT-Dateien der Profile maßgeblich.
HKEY_CLASSES_ROOT (HKCR) ist eine zur Laufzeit gemergte Sicht aus HKLM\Software\Classes und HKCU\Software\Classes (User-Einträge haben Vorrang vor System-Einträgen).
HKEY_CURRENT_CONFIG (HKCC) verweist auf HKLM\SYSTEM\CurrentControlSet\Hardware Profiles\Current.
HKLM\HARDWARE wird beim Systemstart dynamisch aus der Hardwareerkennung aufgebaut und besitzt keine Backing-File – nur per Live-Akquise erfassbar.
SAM, SECURITY, SOFTWARE und SYSTEM laden früh im Bootprozess. NTUSER.DAT und UsrClass.dat laden erst beim Logon des jeweiligen Users
Zeitstempel nur pro Schlüssel (LastWrite, UTC), nicht pro Wert
Zu jedem Hive gehörige .LOG1/.LOG2-Dateien (Transaktions-/Journal-Dateien) enthalten "dirty pages" – Änderungen, die noch nicht in den Haupt-Hive committet wurden; seit Windows 8.1 oft auch ältere Transaktionen
Gelöschte Schlüssel und Werte können im Hive verbleiben
Historische Registry-Stände können ergänzend über RegBack (C:\Windows\System32\config\RegBack, seit Windows 10 1803 standardmäßig deaktiviert (reaktivierbar über EnablePeriodicBackup) – sonst nur leere Platzhalter) oder über Volume Shadow Copies vorliegen.
Ablageort:
C:\Windows\System32\config (SYSTEM, SOFTWARE, SECURITY, SAM, DEFAULT)
%USERPROFILE%\NTUSER.DAT
%LOCALAPPDATA%\Microsoft\Windows\UsrClass.dat

Mapping Root Key / Hive → Registry-Datei¶

Root Key / Hive	Typ	Registry-Datei	Ladezeitpunkt
HKEY_LOCAL_MACHINE\SAM	echter Hive	SAM	Boot
HKEY_LOCAL_MACHINE\SECURITY	echter Hive	SECURITY	Boot
HKEY_LOCAL_MACHINE\SOFTWARE	echter Hive	SOFTWARE	Boot
HKEY_LOCAL_MACHINE\SYSTEM	echter Hive	SYSTEM	Boot
HKEY_LOCAL_MACHINE\HARDWARE	volatil, kein Backing-File	–	Boot (dynamisch aufgebaut)
HKEY_USERS\{USER_SID}	echter Hive	NTUSER.DAT (im Profilpfad)	Logon
HKEY_USERS\{USER_SID}_Classes	echter Hive	UsrClass.dat	Logon
HKEY_USERS\.DEFAULT	echter Hive	DEFAULT	Boot
HKEY_CURRENT_USER	Alias auf HKEY_USERS\{USER_SID}	–	–
HKEY_CLASSES_ROOT	Merge aus HKLM...\Classes + HKCU...\Classes	–	–
HKEY_CURRENT_CONFIG	Verweis auf HKLM\SYSTEM...\Hardware Profiles\Current	SYSTEM	Boot