Forensik-Tool Miniaturansichten Pro (Family)

Datenleck Miniaturansichten

Die Idee hinter den Miniaturansichten ist prinzipiell nicht schlecht. Sobald man im Windows Explorer in ein Verzeichnis navigiert, kann man sich dort Vorschaubilder ansehen. Das erleichtert natürlich die Auswahl der korrekten Datei beträchtlich. Das Erstellen der Vorschaubilder ist mit ein wenig Rechenaufwand verbunden. Gerade dann, wenn sich sehr viele Bilder in einem Ordner befinden, bemerkt man beim Öffnen eine Verzögerung. 

Um diese Verzögerung bei der Anzeige von Vorschaubildern zu minimieren, legt Windows nach dem ersten Berechnen verschiedene Größen der Vorschauen in eine Datenbank (s.g. Thumbnail Cache). Wird ein Ordner jetzt wieder besucht, werden die Miniaturansichten nur für die Dateien neu berechnet, die noch nicht in der Vorschau-Datenbank berücksichtigt wurden.  

Das Problem mit den Miniaturansichten

Was auf den ersten Blick wie eine geniale Idee erscheint, hat mitunter einige Haken.

1. Sie haben im Normalfall keinen Einfluss darauf, was Windows als Vorschau in der Datenbank ablegt.
2. Der Begriff Minituransicht verleitet zu der Ansicht, die Bilder seien klein und enthielten wenig Details. Dem ist jedoch nicht so. Die Bilder sind teilweise sehr groß und lassen viele Einzellheiten erkennen. Die Vorschaubilder sind ghelegentlich größer, als die Originale.
3. Windows erzeugt mit Hilfe von Anwendungen, die für den entsprechenden Dateityp verantwortlich sind auch Vorschaubilder von Dateien, die nichts mit einer Grafikdatei zu tun haben. Wer z.B. MS Office installiert hat, findet rasch Seiten aus Office Dokumenten in der Vorschau-Datenbank. Auch Bilder aus Videos und aus besuchten Internetseiten finden den Weg in die Miniaturansichten-Datenbank.
4. Bilder verbleiben selbst dann im s.g. Thumbnail Cache, wenn die Original-Datei (Video, Dokument, Bilddatei, Grafik, etc.) längst gelöscht wurde. Der Zeitpunkt, zu dem eine im Original bereits gelöschte Datei auch aus dem Zwischenspeicher entfernt wird, ist nicht vorhersagbar.

Thumbnail Cache auswerten

ArchiCrypt Forensik-Tool Miniaturansichten listet beim Start alle Datenbanken mit Vorschaubildern, die sich auf dem Rechner befinden. Ganz einfach können die Vorschaubilder betrachtet und bei Bedarf gesichert werden. Einzeln oder komplett auf einem wählbaren Speichermedium.

Das Forensik-Tool Miniaturansichten kann auch Thumbnail Cache Dateien (thumbs_xxx.db) Dateien von anderen Rechnern öffnen und deren Inhalt sichtbar machen. Sie müssen das Programm also nicht auf dem Rechner installieren, auf dem die Vorschaubilddatenbank ausgewertet werden soll. Unterstützt werden die Formate von Windows 7 bis Windows 10.

Vorschaubilder entfernen

Das Forensik-Werkzeug ist ein Betrachter und kann Bilddaten aus den Datenbanken in externe Dateien sichern. Mechanismen zum Entfernen von Minituransichten sind nicht in dem Werkzeug enthalten. Forensik-Tool Minituransichten wird jedoch in ArchiCrypt Shredder (Version 8 oder höher) integriert.  ArchiCrypt Shredder übernimmt die Kontrolle, wenn Miniaturansichten gelöscht oder komplett deaktiviert werden sollen.