Glossar
FILETIME
Der 64-Bit-Zeitstempel von Windows: die Anzahl der 100-Nanosekunden-Intervalle seit 1601-01-01 00:00:00 UTC.
FILETIME ist das Zeitstempelformat, das Windows überall verwendet: eine vorzeichenlose 64-Bit-Ganzzahl, die 100-Nanosekunden-Intervalle seit dem 1. Januar 1601, 00:00:00 UTC, zählt. In den Benachrichtigungsartefakten sind ArrivalTime und ExpiryTime in der Tabelle Notification von wpndatabase.db, die Erstellungs- und Ablaufzeiten in WNSPushChannel sowie die Kachel- und Toast-Zeiten in appdb.dat FILETIME-Werte, gespeichert als einfache Ganzzahlen.
Zur Umrechnung in Unix-Zeit ziehen Sie 116444736000000000 ab (die Anzahl der 100-Nanosekunden-Intervalle zwischen 1601 und 1970) und teilen durch 10.000.000. Das Ergebnis sind Sekunden seit 1970-01-01 UTC; der Rest liefert die Genauigkeit unterhalb einer Sekunde.
Warum es für Ermittlungen wichtig ist
FILETIME-Werte sind UTC. Die Eingangszeiten von Benachrichtigungen können daher ohne Annahmen über die Zeitzone direkt in eine Zeitleiste übernommen werden, neben Einträgen aus der $MFT, den Ereignisprotokollen und dem Browserverlauf. Das gilt nicht für jedes Feld der Datenbank: NotificationHandler.CreatedTime und ModifiedTime sind Textdaten mit undokumentierter Zeitzone. Geben Sie sie so an, wie sie gespeichert sind.
Die Werte sind außerdem größer als 2^53, die größte Ganzzahl, die eine JavaScript-Zahl oder eine Tabellenzelle exakt darstellt. Wer sie in eine Tabellenkalkulation einfügt oder als Zahlen durch JSON reicht, riskiert, dass die letzten Stellen stillschweigend gerundet werden. Bewahren Sie den Rohwert als Text auf; der Parser exportiert ihn so, neben der umgerechneten Zeit.
Beispiel
from datetime import datetime, timedelta, timezone
ft = 134338537240000000 # ArrivalTime, wie gespeichert
unix = (ft - 116444736000000000) / 10_000_000
print(unix) # 1789380124.0
print(datetime(1601, 1, 1, tzinfo=timezone.utc) + timedelta(microseconds=ft // 10))
# 2026-09-14 10:02:04+00:00
Verwandte Begriffe
Der Windows Notification Parser rechnet jede FILETIME in UTC um und behält den Rohwert; welche Spalten sie verwenden, zeigt wpndatabase.db: Tabellen und Spalten erklärt.