Zusammenfassung:
Kürzlich verbreitete sich in den sozialen Medien schnell die Behauptung, dass Windows 11 „jedes Foto, das der Benutzer gelöscht hat, heimlich speichert“, was bei vielen Benutzern zu Bedenken hinsichtlich Datenschutzproblemen führte. Entsprechenden Behauptungen zufolge speichert Windows Miniaturansichten von Fotos, die von Benutzern gelöscht wurden, in einer Datenbankdatei mit dem Namen „thumbcache_256.db“.
Die tatsächliche Situation ist jedoch komplizierter als diese Aussage: Windows behält einige Miniaturansicht-Caches von Fotos bei, und die Miniaturansichten im Cache bleiben möglicherweise auch dann bestehen, wenn die Originalfotos gelöscht werden. Dies bedeutet jedoch nicht, dass Windows jedes Foto speichert, das der Benutzer löscht.
Der Windows-Datei-Explorer verfügt seit langem über einen Miniaturbild-Cache. Sein Hauptzweck besteht nicht darin, die Dateien des Benutzers aufzuzeichnen, sondern das Durchsuchen von Ordnern zu beschleunigen. Wenn das System jedes Mal, wenn ein Ordner mit einer großen Anzahl von Bildern geöffnet wird, eine Vorschau der Originalfotos neu erstellen müsste, wäre das Surferlebnis erheblich langsamer. Daher speichert Windows die generierten Miniaturansichten separat, damit sie beim nächsten Mal direkt aufgerufen werden können.
Dieser Mechanismus gibt es nicht nur bei Windows. macOS verfügt außerdem über einen Quick Look-Thumbnail-Mechanismus, die Linux-Desktop-Umgebung verwendet außerdem einen gemeinsamen Standard für das Caching von Miniaturansichten und Android bietet außerdem eine API zum Generieren und Abrufen von Miniaturansichten von Bildern. Mit anderen Worten: Das Speichern von Miniaturansichten selbst ist eine gängige Technik, die von modernen Betriebssystemen übernommen wird, um die Effizienz beim Durchsuchen von Bildern zu verbessern.
Der Miniaturbild-Cache für Windows 11 befindet sich im Explorer-Verzeichnis unter dem Benutzerprofil. Der Benutzer drückt Windows+R, gibt „%LOCALAPPDATA%MicrosoftWindowsExplorer“ ein und drückt die Eingabetaste. Anschließend werden Datenbankdateien wie „thumbcache_32.db“, „thumbcache_96.db“, „thumbcache_256.db“ und „thumbcache_1024.db“ angezeigt. Verschiedene Datenbanken speichern Bildvorschauen unterschiedlicher Größe und die spezifischen Dateitypen variieren je nach Windows-Version.
Wenn Sie diesen Ordner öffnen, wird Ihnen jedoch nicht direkt eine „Bibliothek gelöschter Fotos“ angezeigt. Wenn Sie die in der Datenbank gespeicherten Miniaturansichten extrahieren möchten, müssen Sie zur Analyse eine spezielle Software verwenden.
Noch wichtiger ist, dass Windows beim Erstellen oder Kopieren von Bildern nicht automatisch einen Miniaturbild-Cache für Benutzer generiert. Microsoft-Ingenieur Raymond Chen erklärte zuvor, dass der Cache-Eintrag normalerweise generiert wird, nachdem der Datei-Explorer oder andere Programme, die den Miniaturansicht-Caching-Mechanismus des Explorers verwenden, tatsächlich die Bildvorschau anfordern. Wenn ein Benutzer ein Foto noch nie im Miniaturansichtmodus angesehen hat, ist das Foto wahrscheinlich überhaupt nicht zwischengespeichert.
Dies erklärt auch, warum die Aussage „Windows speichert jedes gelöschte Foto“ ungenau ist. Das Miniaturbild muss überhaupt vorhanden sein, bevor es nach dem Löschen des Originalfotos möglicherweise im Cache verbleiben kann. Windows verfügt nicht über eine versteckte Datenbank aller historischen Fotos.
Der Grund dafür, dass die Miniaturansicht nach dem Löschen des Originalfotos weiterhin vorhanden sein kann, besteht darin, dass sie zu Daten geworden ist, die unabhängig von der Originaldatei sind. Wenn eine Anwendung eine Miniaturansicht anfordert, die noch nicht zwischengespeichert wurde, extrahiert Windows die Vorschau aus der Originaldatei und speichert sie in der Cache-Datenbank. Selbst wenn danach das Originalfoto gelöscht wird, wird die zwischengespeicherte Kopie in der Datenbank nicht automatisch gelöscht, da die Originaldatei verschwindet.
Wenn Benutzer diese möglicherweise verbleibenden Miniaturansichten löschen möchten, können sie das mit Windows gelieferte Tool zur Datenträgerbereinigung verwenden. Drücken Sie Windows+R, geben Sie „cleanmgr“ ein und drücken Sie die Eingabetaste, wählen Sie die Windows-Systemfestplatte aus, normalerweise das Laufwerk C, und aktivieren Sie dann die Option „Miniaturansicht“. Wenn Sie nur den Miniaturbild-Cache löschen möchten, müssen Sie andere Elemente wie „Temporäre Dateien“ nicht überprüfen. Nachdem Sie auf „OK“ geklickt und die Datei gelöscht haben, löscht Windows den vorhandenen Miniaturbild-Cache.
Dadurch wird das Zwischenspeichern von Miniaturansichten jedoch nicht dauerhaft deaktiviert. Während der Benutzer weiterhin den Bilderordner durchsucht, erstellt Windows dennoch einen neuen Miniaturbild-Cache.
Wenn Sie die Generierung von Miniaturansichten durch Windows vollständig verhindern möchten, können Benutzer von Windows 11 Professional, Enterprise und Education dies über Gruppenrichtlinien festlegen. Öffnen Sie „gpedit.msc“, gehen Sie zu „Benutzerkonfiguration → Administrative Vorlagen → Windows-Komponenten → Datei-Explorer“ und aktivieren Sie die Richtlinie „Zwischenspeichern von Miniaturbildern deaktivieren“. Microsoft hat empfohlen, diese Funktion auf gemeinsam genutzten Computern oder Geräten mit höheren Sicherheitsanforderungen zu deaktivieren, da der Miniaturbild-Cache selbst gelesen werden kann.
Windows 11 Home Edition verfügt nicht über einen Gruppenrichtlinien-Editor, es gibt einen anderen Weg. Benutzer können die Ordneroptionen des Datei-Explorers öffnen und auf der Registerkarte „Ansicht“ die Option „Immer Symbole anzeigen, niemals Miniaturansichten anzeigen“ aktivieren. Auf diese Weise generiert der Datei-Explorer keine Miniaturansichten von Bildern, sondern zeigt immer normale Dateisymbole an.
Thumbnail-Caching hat einen gewissen forensischen Wert. Frühere Untersuchungen haben gezeigt, dass die entsprechenden Miniaturbild-Cache-Datensätze möglicherweise noch vorhanden sind, selbst wenn die Originalbilder in Windows gelöscht werden, und Ermittler können diese Caches verwenden, um festzustellen, ob das System bestimmte Bilder in der Vergangenheit angezeigt hat. Allerdings handelt es sich im Cache nur um eine verkleinerte Vorschau, nicht um das Originalfoto selbst. Die tatsächliche Fähigkeit, Personen oder Orte und andere Informationen zu identifizieren, hängt weitgehend von der Größe des Miniaturbilds und dem Inhalt des Originalbilds ab.
Der Social-Media-Beitrag, der die Diskussion auslöste, erwähnte tatsächlich andere Caching- und Verlaufsmechanismen in Windows. Die Windows-Prefetch-Datei zeichnet beispielsweise Informationen zur Programmausführung auf, einschließlich der Häufigkeit der Ausführung und einiger aktueller Startzeiten. Dabei handelt es sich jedoch nicht um eine permanente Verlaufsdatei, die alle vom Benutzer installierten Programme aufzeichnet.
Windows behält auch einige USB-Speichergeräteinformationen im USBSTOR-Eintrag in der Registrierung bei, selbst wenn das Gerät vom Stromnetz getrennt wurde. Dies kann jedoch nicht einfach als vollständiger und dauerhaft gespeicherter USB-Gerätenutzungsdatensatz verstanden werden.
Das Wi-Fi-Profil speichert die Informationen zuvor verbundener drahtloser Netzwerke. Wenn Sie über die entsprechenden Berechtigungen verfügen, kann Windows das Passwort des gespeicherten Netzwerks anzeigen. Dies ist jedoch eine normale Netzwerkkonfigurationsfunktion des Betriebssystems und bedeutet nicht, dass das System alle Netzwerkaktivitäten des Benutzers heimlich aufzeichnet.
Auch der Verlauf der Windows-Zwischenablage wird oft missverstanden. Die Funktion „Zwischenablageverlauf“ ist standardmäßig nicht aktiviert. Wenn diese Option aktiviert ist, können maximal 25 Inhalte gespeichert werden und nicht angeheftete Inhalte werden nach dem Neustart des Systems gelöscht. Benutzer können den Verlauf der Zwischenablage auch manuell löschen.
Die Liste „Zuletzt verwendet“ im Datei-Explorer speichert auch keine vollständige Kopie der Dateien des Benutzers. Es speichert hauptsächlich Verknüpfungsinformationen, die auf die Datei verweisen, und die Anwendung kann sich dafür entscheiden, bestimmte geöffnete Datensätze nicht darin aufzunehmen. Benutzer können in den Ordneroptionen auch die Option „Zuletzt verwendete Dateien anzeigen“ deaktivieren.
Aus einer breiteren Perspektive betrachtet ist die Beibehaltung von Miniaturansichten durch Windows keine Anomalie. Das Linux-Desktopsystem speichert Miniaturansichten im Benutzerverzeichnis gemäß den relevanten Standards von freedesktop.org. Apple bietet außerdem einen Quick Look-Thumbnail-Mechanismus für Anwendungen und empfiehlt sogar, dass Fotoanwendungen Miniaturansichten zwischenspeichern, um ein reibungsloses Scrollen zu ermöglichen.
Was wirklich erwähnenswert ist, ist, dass „das Löschen einer Datei“ und das „vollständige Löschen aller mit der Datei verbundenen Daten“ zwei verschiedene Dinge sind. Windows behält möglicherweise Miniaturansichten von Fotos bei und es gibt andere Caching- und Metadatenmechanismen für das Dateisystem. Das Löschen der Originaldatei bedeutet also nicht unbedingt, dass die zugehörigen Daten sofort von allen Speicherorten auf dem Speichergerät verschwinden.
Da KI-Agenten zunehmend in die Lage versetzt werden, auf lokale Dateien zuzugreifen, wird die Bedeutung dieser Art von Problem wahrscheinlich zunehmen. Microsoft drängt darauf, Windows 11 zu einer Plattform für die Ausführung von KI-Funktionen zu machen und einigen KI-Agenten die Verarbeitung lokaler Dateien zu ermöglichen. Es erhöht auch die Kontrolle über Datenzugriffsberechtigungen wie Dokumente, Bilder, Kameras und Mikrofone. Derzeit gibt es keine Hinweise darauf, dass der KI-Agent von Windows den Miniaturbild-Cache aktiv liest. Da die Software jedoch immer mehr Möglichkeiten erhält, auf lokale Daten zuzugreifen, müssen Benutzer tatsächlich verstehen, welche Daten nach dem Löschen der Datei möglicherweise auf dem System verbleiben.
Wenn eine gründlichere Datenbereinigung auf forensischer Ebene erforderlich ist, garantiert die normale Festplattenbereinigung nicht die Abdeckung aller gelöschten Daten. Tools wie SDelete, die in der Vergangenheit von Microsoft bereitgestellt wurden, können Restdaten weiter bereinigen, indem sie nicht zugewiesenen Speicherplatz überschreiben. Dies gehört jedoch bereits zu völlig anderen Anforderungen an die Datenlöschung als das Löschen von Dateien durch normale Benutzer.
Die im Internet verbreitete Aussage hat also eine gewisse sachliche Grundlage: Windows behält möglicherweise weiterhin die Miniaturansichten der Originalfotos bei, nachdem diese gelöscht wurden. Aber es als „Windows speichert jedes Foto, das Sie jemals löschen“ zu beschreiben, ist eindeutig eine Vereinfachung. Nur Bilder, die tatsächlich von Windows oder anderen verwandten Programmen generiert und als Miniaturansichten zwischengespeichert wurden, können eine solche Vorschau verlassen, und der Cache ist nicht dauerhaft vorhanden.
Kommentare