Not yet available in English

This page does not exist in English yet. Shown is the version in Deutsch.

Written by kalink0 (Marco Neumann) · Completed on 2026-10-20 · Not yet reviewed by a second person

VSS - Volume Shadow Copy Service¶

Bedeutung¶

Das Betriebssystem Microsoft Windows verfügt seit der Version Windows Vista für das Dateisystem NTFS über den Mechanismus des Volume Shadow Copy Services (VSS). Diese Funktion ermöglicht es Nutzern ehemals existierende Dateien und ehemalige Versionen von Dateien wiederherzustellen.

Aus digitalforensischer Sicht bedeutet dies, dass ehemals existierende Dateien und/oder ehemalige Versionen von Dateien in diesen Volume Shadow Copies vorliegen können. Wenn eine Datei sich in einer Volume Shadow Copy befindet, kann aus digitalforensischer Sicht gesagt werden, von wann dieser "Snapshot" der Datei stammt. Damit kann ausgedrückt werden wann diese Datei auf dem System in dieser Version vorgelegen hat.

Spezifische Kurzinformation¶

Unter Windows 10/11 ist der Systemschutz standardmäßig nicht aktiviert
Erstellung u.a. bei Softwareinstallation, Windows-Update oder manuellem Wiederherstellungspunkt
Ist der reservierte Speicherplatz voll, wird die älteste Schattenkopie gelöscht
Ablageort: {DRIVE}:\System Volume Information\{GUID}{3808876b-c176-4e48-b7ae-04046e6cc752}