Microsoft “Recall” als forensische Spurenquelle, Annalena Langenberg

Annalena Langenberg

Kurzfassung

Microsoft “Recall” ist ein Feature von Copilot+, das es Nutzern auf entsprechenden Endgeräten ermöglicht, eine lokale, durchsuchbare Aktivitätshistorie automatisch zu erstellen. Dabei werden periodisch Momentaufnahmen (Snapshots) erfasst und analysiert. Diese Arbeit untersucht “Recall” primär als mögliche forensische Spurenquelle im behördlichen Kontext. Im Mittelpunkt steht die praktische Gewinnung von Nutzerdaten unter realistischen Bedingungen. Dazu werden verschiedene Extraktions- und Zugriffswege systematisch erprobt und dokumentiert, um zu bestimmen, unter welchen Voraussetzungen Nutzerdaten gesichert werden können. Ziel ist eine strukturierte Übersicht über die getesteten Vorgehensweisen sowie eine Bewertung nach Aufwand und Erfolg.

Schlagwörter: Beweissicherung, Cybersicherheit, Digital Forensics, IT-Forensik, IT-Sicherheit, IT, Microsoft Recall

Abstract

Microsoft “Recall” is a feature of Copilot+ that allows users on compatible devices to automatically create a local, searchable activity history. This involves periodically capturing and analyzing snapshots of activity. This work primarily examines “Recall” as a potential source of forensic evidence in a law enforcement context. The focus is on the practical acquisition of user data under realistic conditions. To this end, various extraction and access methods are systematically tested and documented to determine the conditions under which user data can be secured. The goal is to provide a structured overview of the tested methods and an evaluation based on effort and success.

Keywords: Evidence preservation, cybersecurity, digital forensics, IT forensics, IT security, IT, Microsoft Recall