Glossar
Notification Handler
Eine bei der Windows-Benachrichtigungsplattform registrierte App, gespeichert als NotificationHandler-Zeile mit PrimaryId, Typ und Erstellungszeit.
Ein Notification Handler ist eine App oder Systemkomponente, die bei der Windows-Benachrichtigungsplattform registriert ist, um den Benutzer benachrichtigen zu können. Jeder Handler ist eine Zeile der Tabelle NotificationHandler in wpndatabase.db. Seine RecordId ist der Primärschlüssel, auf den Benachrichtigungen über Notification.HandlerId verweisen, und seine PrimaryId gibt an, um welche App es sich handelt.
Weitere Spalten beschreiben die Registrierung: HandlerType (zum Beispiel app:desktop, app:immersive oder app:system), WNSId und WNFEventName für die Kennungen des Push-Dienstes und der Notification Facility, ParentId und ContainerSid sowie CreatedTime / ModifiedTime. Die zugehörigen Schlüssel-Wert-Tabellen HandlerAssets und HandlerSettings enthalten weitere Details pro Handler; ihre Schlüssel unterscheiden sich je nach App und Windows-Build.
Warum es für Ermittlungen wichtig ist
Die Handler-Tabelle ist eine Liste aller Apps, die diesen Benutzer benachrichtigen konnten, unabhängig davon, ob noch Benachrichtigungen von ihnen vorhanden sind. Zwei Fälle verdienen Aufmerksamkeit. Erstens ein Handler, der im untersuchten Zeitraum angelegt wurde: eine App, die sich mitten in einem Einbruch für Benachrichtigungen registriert hat. Zweitens ein Handler, der über einen Pfad in einem für Benutzer beschreibbaren Ort wie ProgramData, Users\Public oder einem Profilordner identifiziert wird; der Parser markiert ihn als ungewöhnliche App. Viele legitime Apps liegen ebenfalls dort, prüfen Sie daher Ausführungsartefakte. Beachten Sie, dass CreatedTime und ModifiedTime Text mit undokumentierter Zeitzone sind, anders als die UTC-Werte im FILETIME-Format bei Benachrichtigungen.
Beispiel
SELECT n.ArrivalTime, h.PrimaryId, h.HandlerType, h.CreatedTime
FROM Notification n
JOIN NotificationHandler h ON n.HandlerId = h.RecordId;
Im fiktiven Beispiel der Website erscheint ein Handler mit der PrimaryId C:\ProgramData\Intel\m64.exe und einer CreatedTime von 2026-09-14 10:11:58, eine Minute vor seinem einzigen Toast.
Verwandte Begriffe
Die Ansicht Apps und Kanäle im Windows Notification Parser listet alle Handler; die Fallstudie zur Vorfallsanalyse zeigt einen im Kontext.