Forside › Windows-forensik · Gennemgået oktober 2026 · Af John Nielsen
Windows Search opbygger løbende et indeks over filer, mails og andre elementer, så søgning i Stifinder og startmenuen går hurtigt. Indekset gemmer filnavne, stier, størrelser, tidsstempler og dokumentegenskaber og ofte også dele af indholdet. Fordi indekset ikke straks fjerner poster, når filer slettes eller flyttes, kan det rumme spor af filer og mails, der ikke længere findes på computeren. En nyere lokal kilde med et lignende formål er Windows Recall. Det er en nichekilde, men i sager om slettede dokumenter kan det være det eneste sted, et filnavn eller en sti stadig står.
Hvor indekset ligger, og formatet
Indekset ligger som standard i den skjulte mappe ProgramData\Microsoft\Search\Data\Applications\Windows. I Windows 10 og ældre versioner er det en ESE-database ved navn Windows.edb, samme databaseformat som bruges af SRUM og andre Windows-komponenter. I Windows 11 er formatet skiftet til et sæt SQLite-databaser, typisk Windows.db og Windows-gather.db med flere. Placeringen kan være flyttet i indstillingerne, og formatet kan afvige på opgraderede maskiner, så kontrollér begge dele på det konkrete system.
Skiftet har praktisk betydning: Værktøjer, der kan læse det ene format, kan ikke nødvendigvis læse det andet, og oplysningernes struktur er forskellig. Det skal fremgå af dokumentationen, hvilket format der er analyseret. ESE-databasen er beskrevet nærmere i forbindelse med SRUM-databasen, og SQLite-formatets egenskaber, herunder slettede rækker, i SQLite i forensic.
Hvad indekset indeholder
- Fil- og mappeoplysninger · Navn, fuld sti, størrelse, filtype
- Tidsstempler · Filens oprettet- og ændret-tider, tidspunkt for indeksering
- Dokumentegenskaber · Titel, forfatter, emne, firma, sidst gemt af
- Indhold · Tekstuddrag eller automatisk resumé for visse filtyper
- Mails og kalender · Emne, afsender, modtagere og dele af indholdet fra Outlook, hvis indeksering af mail er slået til
Hvilke placeringer der indekseres, afhænger af indstillingerne. I den klassiske tilstand er standard brugerens Dokumenter, Billeder og Musik samt skrivebordet, og placeringer kan tilføjes. I den udvidede tilstand indekseres hele computeren, dog med undtagelser. Netværksdrev og flytbare drev indgår normalt ikke, medmindre de er tilføjet. Indstillingerne skal aflæses, før fravær af en post tolkes.
Spor af filer, der er væk
Når en fil slettes, fjernes posten i indekset ikke nødvendigvis med det samme. Indekset opdateres efter behov, og i mellemtiden kan posten stå med sti og metadata. Derudover kan slettede poster ligge tilbage i databasens frie plads, hvor specialiserede værktøjer kan genfinde dem. Begge dele kan vise:
- at en fil med et bestemt navn lå i en bestemt mappe,
- filens størrelse og tidsstempler på indekseringstidspunktet,
- dokumentegenskaber som titel og forfatter,
- i nogle tilfælde dele af teksten.
Sammenholdt med papirkurven og filsystemets journal kan indekset hjælpe med at fastslå, hvad en slettet fil var, og hvor den lå; se Papirkurven i Windows og NTFS i dybden.
Mails i indekset
Er Outlook installeret, og indeksering af mail slået til, kan indekset indeholde oplysninger om mails fra de lokale postkassefiler. Det kan give spor af mails, der er slettet fra postkassen, eller af en postkassefil, der ikke længere findes på computeren. Oplysningerne er ufuldstændige og erstatter ikke en egentlig sikring af postkassen; se PST og OST.
Indekset er ikke søgehistorikken
Indekset indeholder det, Windows har indekseret, ikke det, brugeren har søgt efter. Brugerens søgninger i Stifinder gemmes et andet sted, i registreringsdatabasen; se UserAssist, RecentDocs og MRU-lister. Søgninger i startmenuen kan gå til både det lokale indeks og internettet og efterlader andre spor. De to kilder supplerer hinanden: Søgehistorikken viser, hvad brugeren ledte efter, og indekset viser, hvad der fandtes at finde.
Sådan bruges indekset i praksis
En afgrænset fremgangsmåde kunne være:
- Afklar format, indekseringsindstillinger og om indekset er genopbygget for nylig, fx ud fra databasens egne tidsstempler og hændelseslogs for søgetjenesten.
- Udtræk poster for de mapper, sagen handler om, fx brugerens dokumentmappe eller en synkroniseret projektmappe.
- Sammenlign listen med filsystemets aktuelle indhold. Poster uden en tilsvarende fil er kandidater til slettede eller flyttede filer.
- Genfind slettede poster i databasens frie plads, og markér dem som genfundne.
- Bekræft kandidaterne i andre kilder: papirkurven, ændringsjournalen, skyggekopier, LNK-filer eller cloudtjenestens versionshistorik.
Resultatet er typisk en liste over filnavne og stier med metadata, som kan bruges til at målrette den videre søgning eller til at underbygge, at bestemte dokumenter har ligget på computeren.
Servere
På servere er Windows Search ofte ikke installeret eller ikke aktiv. Filservere, hvor funktionen er slået til for at gøre delte mapper søgbare, kan dog have et indeks over store mængder dokumenter. Det kan give spor af filer, der er slettet fra en delt mappe, og bør i så fald sikres sammen med serverens øvrige kilder.
Sikring og analyse
Indekset sikres fra en forensisk kopi. Søgetjenesten har databasen åben, mens systemet kører, så en kopi fra et kørende system kan være inkonsistent. ESE-databasen er typisk “beskidt” og skal genafspilles eller repareres på en arbejdskopi, før den kan læses. Det skal dokumenteres, og originalen skal forblive uændret.
Indekset kan være meget stort på computere med mange filer og mails. Analysen bør derfor afgrænses til de stier, perioder og søgeord, sagen handler om.
Fejlkilder
- Indekseret er ikke åbnet. En post viser, at søgetjenesten har læst filen, ikke at en bruger har åbnet den.
- Tidsstempler. Indekset kan rumme både filens egne tidsstempler, som de var ved indekseringen, og tidspunktet for selve indekseringen. De to skal holdes adskilt.
- Forældede poster. En post kan vise en tilstand, der for længst er ændret, fx en gammel sti efter en flytning.
- Genopbygning. Hvis indekset er genopbygget, fx efter en opdatering eller fejl, er ældre poster væk. Fravær siger da intet om filens historik.
- Formatskift. Værktøjer, der kun læser det gamle format, kan rapportere en tom database på nyere systemer.
Privatliv og afgrænsning
Indekset rummer oplysninger på tværs af alt, der er indekseret, herunder private dokumenter og mails. Tekstuddrag kan indeholde følsomme personoplysninger om andre end den undersøgte. Søgning og udtræk bør derfor begrænses til det, der er relevant for sagen, og afgrænsningen bør dokumenteres; se Dataminimering i forensic.
Hvad indekset kan og ikke kan bevise
Indekset kan vise, at en fil eller mail med bestemte egenskaber fandtes på en indekseret placering på et tidspunkt. Det kan ikke vise, hvem der oprettede, åbnede eller slettede den, og det kan ikke vise, hvornår filen forsvandt. Det er en støttekilde, der får sin værdi i samspil med filsystem, papirkurv og brugerens aktivitetsspor. Et filnavn fundet i indekset kan fx være nøglen til at søge målrettet efter samme fil i en backup, i cloudtjenestens papirkurv eller på et USB-drev, hvor indholdet stadig findes. Rapporten bør formulere fund herfra forsigtigt, fx som “indekset indeholder en post for en fil med dette navn i denne mappe”, og angive, hvilke andre kilder der bekræfter eller ikke bekræfter posten.
Dokumentation
Angiv databaseformat og Windows-version, kildefiler og hashværdier, om databasen var beskidt, og hvordan den blev gjort læsbar, værktøj og version, indekseringsindstillinger samt for hvert fund: sti, filnavn, egenskaber, tidsstempler med angivelse af, om de er filens eller indeksets egne, og om posten stammer fra den aktive database eller fra genfundne data.
Kilder og versioner
- Microsoft Support: Søgeindeksering i Windows
- Microsoft Learn: Extensible Storage Engine
- Stroz Friedberg: Windows Search Index, the forensic artifact
Senest gennemgået: oktober 2026.
Næste skridt
- Volume Shadow Copies: tidligere versioner som bevis
- RDP-spor: fjernskrivebord i logs, register og bitmap-cache
- Active Directory og domænecontroller-logs: konti, grupper og nulstillinger
Del af: Windows-forensik
Læs også: OneDrive-klienten på Windows: lokale spor af synkronisering · Windows Recall og lokale AI-funktioner som datakilde
→ Forensisk undersøgelse af en computer · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
