Glossar
MountPoints2
Der Schlüssel in NTUSER.DAT, der die in der Sitzung eines Benutzers gemounteten Volumes per Volume-GUID auflistet: die Verbindung zwischen Gerät und Konto.
NTUSER.DAT\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2 enthält einen Unterschlüssel pro Volume, das die Sitzung des Benutzers gesehen hat, benannt nach seiner Volume-GUID ({7d3f8a2c-…}), dazu Netzwerkfreigaben (##server#share).
Gleichen Sie die GUID mit MountedDevices ab, um das Gerät zu ermitteln. Die LastWrite-Zeit des Unterschlüssels ist ein Näherungswert dafür, wann dieser Benutzer das Volume zuletzt gemountet hat. Siehe welche Dateien von einem USB-Stick geöffnet wurden.