Glossar
Zeitstempel der Geräteeigenschaften (0064–0067)
FILETIMEs unter dem Schlüssel Properties\{83da6326-…} eines Geräts: 0064 Installation, 0065 Erstinstallation, 0066 Anschließen, 0067 Entfernen.
Ab Windows 8 speichert Windows Geräteeigenschaften unter Enum\…\<instance>\Properties. Die Gruppe {83da6326-97a6-4088-9453-a1923f573b29} enthält die Eigenschafts-IDs 100–103 aus devpkey.h: 0064 InstallDate, 0065 FirstInstallDate, 0066 LastArrivalDate, 0067 LastRemovalDate, jeweils als FILETIME.
Sie liefern nur die Erstinstallation sowie das letzte Anschließen und Entfernen und verschwinden, wenn das Gerät deinstalliert wird. Gleichen Sie sie mit setupapi.dev.log und den Ereignisprotokollen ab. Siehe USBSTOR-Forensik.