Glossar
Toast-Benachrichtigung
Eine Pop-up-Benachrichtigung, die Windows im Auftrag einer App anzeigt und im Infocenter sowie in wpndatabase.db hält, bis sie abläuft oder geschlossen wird.
Ein Toast ist der Benachrichtigungstyp, den Benutzer am häufigsten sehen: ein kleines Fenster, das in einer Bildschirmecke erscheint, mit dem Namen der App, einem Titel, einigen Textzeilen und optional Bildern, Schaltflächen oder einem Antwortfeld. Nachdem er vom Bildschirm verschwunden ist, bleibt er im Infocenter, bis der Benutzer ihn schließt oder er abläuft. Apps lösen Toasts lokal oder über die Windows Push Notification Services aus, über einen WNS-Push-Kanal.
Der Inhalt eines Toasts wird in XML nach Microsofts Toast-Content-Schema definiert. In wpndatabase.db ist ein Toast eine Notification-Zeile mit Type = toast: Sein XML steht in der Spalte Payload, sein Absender in HandlerId, Eingangs- und Ablaufzeit in ArrivalTime und ExpiryTime, beides FILETIME-Werte in UTC. Tag und Group sind von der App gewählte Kennzeichnungen, um eigene Toasts zu ersetzen oder zu entfernen; Chat-Apps legen dort oft eine Nachrichten- oder Konversations-ID ab.
Warum es für Ermittlungen wichtig ist
Toasts schreibt Windows im Auftrag anderer Apps. Sie bewahren daher eine Kopie dessen, was dem Benutzer angezeigt wurde, auch wenn die Quelle verschwunden ist: eine gelöschte Chat-Nachricht, eine in Quarantäne verschobene Datei, ein verschobener Download. Typische Funde sind Nachrichtenvorschauen, Antivirus-Warnungen mit Dateipfad, Download-Hinweise, Meldungen zu Wechseldatenträgern und Anmeldeaufforderungen, jeweils mit genauer UTC-Zeit. Ein Toast beweist, dass das System die Benachrichtigung empfangen hat, nicht, dass der Benutzer sie gelesen hat, und sein Fehlen beweist nichts.
Beispiel
Im fiktiven Beispiel der Website meldet ein Browser-Toast um 10:02:04 UTC „Download complete: tools.zip“. Diese Zeit lässt sich mit den $MFT-Zeitstempeln der Datei, dem Browserverlauf und dem Zone.Identifier-Stream abgleichen.
Verwandte Begriffe
- Payload-XML einer Benachrichtigung
- Notification Handler
- SQLite-Freeblock, wo geschlossene Toasts weiterleben
Laden Sie das Beispiel in den Windows Notification Parser und folgen Sie der Fallstudie zur Vorfallsanalyse, um Toasts in einer Zeitleiste zu sehen.