Skip to content
USBForensics

Glossar

MountPoints2

Der Schlüssel in NTUSER.DAT, der die in der Sitzung eines Benutzers gemounteten Volumes per Volume-GUID auflistet: die Verbindung zwischen Gerät und Konto.

MountPoints2 ist ein Schlüssel in der NTUSER.DAT jedes Benutzers, Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2, der die Volumes auflistet, die während der Anmeldung dieses Benutzers gemountet wurden. Jedes Volume erhält einen Unterschlüssel, der nach seiner Volume-GUID benannt ist, etwa {7d3f8a2c-5e1b-11f1-9c4a-806e6f6e6963}. Auch Netzwerkfreigaben erscheinen hier, mit Namen wie ##server#share.

Warum der Schlüssel für Ermittlungen wichtig ist

Die systemweiten USB-Artefakte (USBSTOR, MountedDevices, setupapi.dev.log, die Ereignisprotokolle) nennen nie ein Konto. MountPoints2 schon, weil der Schlüssel im Hive eines bestimmten Benutzers liegt: Steht dort eine Volume-GUID, wurde dieses Volume während der Sitzung dieses Benutzers gemountet. Gleichen Sie die GUID mit MountedDevices ab, um Gerätepfad und Seriennummer zu erhalten, und Sie haben eine Verbindung zwischen einem physischen Gerät und einem Konto in der Registry.

Die letzte Schreibzeit des Unterschlüssels ist ein Näherungswert dafür, wann dieser Benutzer das Volume zuletzt gemountet hat. Es ist ein einzelner Zeitstempel, kein Verlauf, und sollte mit Verknüpfungen, Jump Lists oder ShellBags des Benutzers bestätigt werden.

Praktische Hinweise:

  • Sichern Sie die NTUSER.DAT aller Profile. reg save erreicht nur angemeldete Benutzer; KAPE, Velociraptor oder ein Image erreichen auch die übrigen.
  • Eine GUID ohne Treffer in MountedDevices lässt sich allein aus der Registry keinem Gerät zuordnen.
  • Dasselbe Gerät kann in den Hives mehrerer Benutzer auftauchen; jeder Eintrag ist ein eigenes Beweisstück.

Beispiel

C:\Users\svc_backup\NTUSER.DAT
  Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\
    {7d3f8a2c-5e1b-11f1-9c4a-806e6f6e6963}      zuletzt geschrieben 2026-09-14 10:30:21 UTC

SYSTEM\MountedDevices
  \??\Volume{7d3f8a2c-5e1b-11f1-9c4a-806e6f6e6963}
      _??_USBSTOR#Disk&Ven_Contoso&Prod_SecureFlash&Rev_1.00#CS1234567890&0#{53f56307-…}

Das Konto svc_backup hat den Contoso-Stick mit der Seriennummer CS1234567890 gemountet, zuletzt gegen 10:30 UTC.

Verwandte Begriffe

USB Forensics liest alle Benutzer-Hives einer Sicherung und nennt auf jeder Gerätekarte die beteiligten Konten. Die übrigen benutzerbezogenen Artefakte beschreibt welche Dateien von einem USB-Stick geöffnet wurden.