Blog
Praxisartikel zu Windows Prefetch: Formate, Hashes, Anti-Forensik und wie man Ausführungsspuren liest.
2026-05-28
Windows-Prefetch-Parsing-Tools im Vergleich — PECmd, WinPrefetchView und Browser-basierte Parser
PECmd, WinPrefetchView, libscca und Online-Parser — wofür jedes gut ist, was es übersieht und wann Sie zu welchem greifen.
Weiterlesen →2026-05-27
Prefetch-Anti-Forensik: was Angreifer verbergen können und was nicht
EnablePrefetcher=0, das Löschen von .pf-Dateien, der Rename-vor-Run-Trick. Ein Praktikerblick darauf, welche Angriffe gegen Prefetch funktionieren und welche eine Spur hinterlassen, der man folgen kann.
Weiterlesen →2026-05-27
Prefetch als Beweismittel: was .pf-Dateien tatsächlich beweisen
Windows Prefetch ist das zuverlässigste Einzelartefakt für den Ausführungsnachweis in der DFIR — aber nur, wenn Sie verstehen, was es nicht sagt. Ein Praktikerblick auf .pf-Dateien.
Weiterlesen →2026-05-27
Warum Windows Server keine Prefetch-Dateien hat — PrefetchParameters und SysMain erklärt
Prefetch ist auf Windows Server standardmäßig aus, wird durch die Registry gesteuert und ist an den SysMain-Dienst gebunden. Hier wird erklärt, was ihn steuert und wie Sie den Status auf einem Live-System überprüfen.
Weiterlesen →2026-05-27
Das Windows-Prefetch-Dateiformat über die Versionen hinweg
SCCA, MAM-Kompression, Sections A bis D und das Versionsfeld. Ein praxisnaher Durchgang, wie sich .pf-Dateien von XP bis Win11 verändert haben und welche Parser mithalten.
Weiterlesen →2026-05-27
Die Datei-Load-Liste: was jede .pf darüber verrät, was eine Binärdatei getan hat
Die Prefetch-Load-Liste ist der Teil, den die meisten Analysten überfliegen. Es ist auch der Ort, an dem sich DLL-Hijacks, Malware-Konfigurationen und Dokumentenöffnungen offen verstecken. Ein praxisnaher Leitfaden.
Weiterlesen →2026-05-27
Lief das Programm wirklich? Prefetch und Prozessausführung
Prefetch ist das stärkste einzelne Ausführungsbeweis-Artefakt in Windows DFIR. Hier ist, wo die Aussage trägt, wo sie bricht und wie Sie sie mit EVTX 4688 und Sysmon untermauern.
Weiterlesen →2026-05-27
Ransomware mit Prefetch untersuchen: eine Walkthrough
Ein fiktiver, aber realistischer Ransomware-Fall, rekonstruiert aus Prefetch. Die acht Zeitstempel, die Load-Liste des Encryptors, Lateral-Movement-Tools. Wie die .pf-Dateien die Geschichte erzählen.
Weiterlesen →2026-05-27
SuperFetch, SysMain und die Win10/11-Prefetch-Verwirrung
SuperFetch wurde in Win10 1709 zu SysMain. Prefetch ist auf SSDs teilweise deaktiviert. Hier ist, was die Registry-Schalter wirklich tun und was Sie verifizieren sollten, bevor Sie einer .pf-Datei vertrauen.
Weiterlesen →2026-05-26
Manipulation und Anti-Forensik bei Windows Prefetch erkennen
Angreifer löschen, fälschen und manipulieren .pf-Dateien, um Ausführungsspuren zu verschleiern. Hier erfahren Sie, wie Sie die häufigsten Anzeichen erkennen und was sie jeweils aussagen.
Weiterlesen →2026-05-25
Wie man Windows-Prefetch-Dateien analysiert — eine forensische Anleitung
Eine praxisnahe, schrittweise Anleitung zum Lesen von .pf-Dateien als Ausführungsbeweis — worauf zu achten ist, was zu ignorieren ist und wie man Befunde untermauert.
Weiterlesen →2026-05-24
Prefetch vs Amcache vs ShimCache — das richtige Ausführungsartefakt wählen
Drei Windows-Artefakte zeichnen Programmausführung auf. Sie überlappen sich, aber jedes erfasst etwas, das die anderen beiden übersehen. Hier ist, wann Sie zu welchem greifen.
Weiterlesen →2026-05-23
Was sich bei Windows Prefetch v30 und v31 änderte (Windows 10 und 11)
Das SCCA-Versionsfeld ist die einzelne nützlichste Zahl in einer Prefetch-Datei. Hier wird erklärt, was jede Version bedeutet und worauf beim Parsen von v30 (Win10) und v31 (Win11) zu achten ist.
Weiterlesen →2026-05-22
Inside MAM-Kompression — wie Windows 8+ Prefetch-Dateien verpackt
Moderne .pf-Dateien beginnen mit einer MAM-Signatur und einem Xpress-Huffman-komprimierten Payload. Hier wird erklärt, wie das Framing funktioniert, warum es eingeführt wurde und was ein Parser tun muss, um es zu lesen.
Weiterlesen →2026-05-21
Wie der Windows-Prefetch-Hash berechnet wird
Der 8-Zeichen-Suffix in jedem .pf-Dateinamen ist ein vom Pfad abgeleiteter Hash, und der Algorithmus wurde dreimal geändert. Hier ist, was er berechnet und warum das für die Forensik wichtig ist.
Weiterlesen →2026-05-20
Windows Prefetch für die Forensik verstehen
Was .pf-Dateien aufzeichnen, warum sie wichtig sind und wie dieser Parser sie vollständig in Ihrem Browser liest.
Weiterlesen →