Zeitstempel der Geräteeigenschaften (0064–0067)

Die Zeitstempel der Geräteeigenschaften sind vier FILETIME-Werte, die Windows ab Version 8 unter dem Instanzschlüssel jedes Geräts speichert, in SYSTEM\ControlSet00x\Enum\<enumerator>\<device>\<instance>\Properties\{83da6326-97a6-4088-9453-a1923f573b29}. Es sind die Eigenschafts-IDs 100 bis 103 dieser GUID aus der Windows-Datei devpkey.h, abgelegt als hexadezimal benannte Unterschlüssel: 0064 InstallDate, 0065 FirstInstallDate, 0066 LastArrivalDate und 0067 LastRemovalDate. Jeder ist der Standardwert seines Unterschlüssels, vom Typ 0xFFFF0010 (eine Geräteeigenschaft vom Typ FILETIME), in UTC.

Warum sie für Ermittlungen wichtig sind

Sie sind die Antwort der Registry auf die Frage wann. 0065 datiert die erste Installation des Geräts auf diesem Computer, 0066 das letzte Anschließen und 0067 das letzte Entfernen. Sie existieren sowohl am USB-Knoten als auch am USBSTOR-Knoten, sodass sich beide gegenseitig prüfen lassen.

Ihre Grenzen sind ebenso wichtig wie ihre Werte:

• Sie halten nur das letzte Anschließen und Entfernen fest. Frühere Verbindungen müssen aus den Ereignisprotokollen kommen.
• Deinstallieren des Geräts löscht den Instanzschlüssel samt Eigenschaften; die nächste Verbindung beginnt von vorn. Ein setupapi.dev.log-Abschnitt, der älter als 0065 ist, bedeutet meist genau das.
• Manche veröffentlichten Anleitungen vertauschen 0064 und 0065. Maßgeblich sind die Definitionen in devpkey.h.
• Windows 7 nutzte eine tiefere Struktur, mit einem Wert Data unter 00000065\00000000.

Beispiel

Enum\USBSTOR\Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00\CS1234567890&0\
  Properties\{83da6326-97a6-4088-9453-a1923f573b29}\
    0064  (Default)  2026-09-14 10:30:14 UTC   InstallDate
    0065  (Default)  2026-09-14 10:30:14 UTC   FirstInstallDate
    0066  (Default)  2026-09-14 10:30:15 UTC   LastArrivalDate
    0067  (Default)  2026-09-14 10:50:40 UTC   LastRemovalDate

Installation und Erstinstallation sind hier gleich, das Gerät wurde also nur einmal installiert. Das jüngste Anschließen in Partition/Diagnostic 1006 sollte zu 0066 passen; wenn nicht, dokumentieren Sie die Abweichung, statt sich für eine Quelle zu entscheiden.

Verwandte Begriffe

• USBSTOR: die Instanzschlüssel, die diese Eigenschaften tragen.
• Geräteinstanz-ID: der Schlüsselpfad, unter dem sie liegen.
• Partition/Diagnostic-Ereignis 1006: jedes Anschließen, nicht nur das letzte.

USB Forensics liest alle vier Werte und stellt sie auf einer gemeinsamen Zeitleiste neben setupapi.dev.log und die Ereignisprotokolle. Details finden Sie in USBSTOR-Forensik und setupapi.dev.log für USB.