Not yet available in English

This page does not exist in English yet. Shown is the version in Deutsch.

Written by kalink0 (Marco Neumann) · Completed on 2026-10-20 · Not yet reviewed by a second person

USN Journal¶

Bedeutung¶

Das USN (Update Sequence Number) - Journal wid vom Windows Betriebssystem für NTFS-Dateisysteme geschrieben. Es enthält Informationen zu ausgeführten Befehlen bezogen auf Dateien. Zum Beispiel "Datei erstellt", "Datei gelöscht", Datei vergrößert/verkleinert".

Je nach Aktitivät auf der NTFS-Partition liegen Daten für bis zu mehreren Wochen vor.

Aus digitalforensischer Sicht kann gesagt werden, dass Einträge im USN Journal bedeuten, dass die aufgeführten Aktionen zu dem angegebenen Zeitpunkt auf den aufgeführten Dateien ausgeführt wurden. Es liegen hier der Dateiname und der Verweis zum Dateipfad im USN Journal vor.

Spezifische Kurzinformation¶

USN Journal ist seit Windows Vista standardmäßig aktivert
Um die Pfade einer Datei ebenfalls zu erhalten, müssen die Daten mit den Einträgen der MFT korreliert werden
Maximale Größe liegt standardmäßig bei 30 - 40 MB (logische Dateigröße von $J durch Sparse-Bereich deutlich größer) - je nach Verwendung der Partition kann man 1 - 2 Wochen in die Vergangenheit schauen
Ablageort (Im Root-Verzeichnis einer NTFS-Partition): \$Extend\$UsnJrnl

$J - Alternate Data Stream - beinhaltet das eigentliche Journal

$Max - Alternate Data Stream - beinhaltet Metadaten zur maximalen Größe des Journals