Wie bereinigt man Amcache unter Windows?

Amcache ist eine Windows-Anwendungskompatibilitätsdatenbank. Windows nutzt es, um sich Programme zu merken, die es gesehen hat, aber als Nebeneffekt wird es zu einem der reichhaltigsten Aufzeichnungen dessen, was auf deinem PC lief. Es befindet sich in einem Registry-Hive, der auf der Festplatte unter C:\Windows\AppCompat\Programs\Amcache.hve gespeichert ist und unter Windows 8, 8.1, 10 und 11 vorhanden ist.

Für jedes Programm kann Amcache den vollständigen Dateipfad, die Dateigröße, einen SHA-1-Hash der ausführbaren Datei, das in die Datei eingebakte Kompilierungsdatum, den Publisher und Produktnamen sowie das erste Sehen der Datei speichern. Das ist eine detaillierte, zeitgestempelte Liste von Software, die ausgeführt wurde, und genau das liest forensische Werkzeuge, um die Nutzung zu rekonstruieren. Das Reinigen entfernt diese Spur.

Im Gegensatz zu Shellbags hat ein Amcache-Eintrag keinen kosmetischen Teil: Jedes Feld ist ein Datensatz über ein Programm. Das macht es zu einem bevorzugten forensischen Artefakt: Ein Eintrag kann beweisen, dass eine bestimmte ausführbare Datei mit einem bestimmten Hash existierte und an einem bestimmten Datum ausgeführt wurde, lange nachdem das Programm selbst verschwunden ist. PrivaZer entfernt diese Einträge, sodass die Hinrichtungsspur nicht mehr im Bienenstock liegt.

Ja. PrivaZer erkennt und löscht Amcache.hve im Rahmen eines Scans und kann es eigenständig anvisieren.

Da Amcache.hve ein Live-Hive ist, den Windows während der Ausführung geladen und gesperrt hält, kann sie nicht wie eine gewöhnliche Datei gelöscht oder bearbeitet werden. PrivaZer plant daher seine Entfernung für den nächsten PC-Start und entfernt den Hive zusammen mit seinen Transaktionsprotokollen Amcache.hve.LOG1 und Amcache.hve.LOG2, sodass die alten Einträge nicht mehr in die Datei abgespielt werden können. Beim nächsten Neustart werden diese Dateien gelöscht und Windows baut ein frisches, leeres Amcache wieder auf.

Deshalb ist der Neustart wichtig: Es ist der Moment, in dem der Wipe tatsächlich stattfindet, nicht nur ein Aufräumen danach. Administratorrechte sind erforderlich, um sie zu planen.

Ja, und genau deshalb sind sie wichtig. Das Deinstallieren eines Programms und das Löschen seiner Dateien entfernt nicht den Amcache-Eintrag. Pfad, Hash, Größe, Publisher und Erst-Sicht-Datum können zurückbleiben, was zeigt, dass das Programm existierte und ausgeführt wurde, selbst nachdem jede Spur des Programms selbst verschwunden ist. Ein Prüfer kann das nutzen, um die Nutzung an einem Datum nachzuweisen, an dem sonst nichts auf der Maschine darauf hinweist. Das Reinigen von Amcache entfernt diesen übrig gebliebenen Datensatz.

Ja. Amcache ist ein Cache, den Windows zur Kompatibilität pflegt und automatisch neu erstellt. Das Entfernen von Einträgen berührt nicht Ihre installierten Programme, Ihre Dateien oder die Systemstabilität. Windows beginnt einfach wieder mit der Aufnahme, während du deinen PC weiter benutzt.

Neue Einträge erscheinen für Programme, die du nach der Bereinigung ausführst, was normal ist: Amcache ist ein laufendes Aktivitätsprotokoll. Die Reinigung entfernt die historische Spur bis zu diesem Punkt, sodass das, was ein Prüfer wiederherstellen konnte, nur das ist, was seitdem passiert ist. Da das Löschen beim nächsten Start durchgeführt wird, starte den PC nach der Reinigung neu und starte dann regelmäßig PrivaZer, um die Spur kurz zu halten.

Es handelt sich um zwei separate Kompatibilitätsartefakte, die oft gemeinsam gereinigt werden. Amcache ist ein Hive auf Festplatte (Amcache.hve), der reichhaltige Programm-Metadaten, einschließlich des SHA-1-Hashes, enthält. Shimcache (auch AppCompatCache genannt) befindet sich in der Registry unter dem Session Manager und speichert hauptsächlich Dateipfade und zuletzt geänderte Daten, die im Speicher gespeichert und beim Herunterfahren ausgeschrieben werden. Beide zeichnen auf, was auf dem PC war, daher ist das Reinigen eines nur die halbe Miete.

Für die Shimcache-Seite, ihre Struktur und das Abschaltverhalten, das das Löschen schwierig macht, siehe: Wie man Shimcache unter Windows bereinigt.