Handschriftenerkennung: Schattendatei in Windows speichert Texte und Passwörter

Mit aktivierter Handschriftenerkennung liest Windows Texte aus Dateien auf der Festplatte aus und speichert sie unter WaitList.dat ab. Auch gelöschte Dateien sind so wieder herstellbar.

Artikel veröffentlicht am , Moritz Tremmel
Mit Touchdisplay und Handschriftenerkennung füllt Windows fleißig die WaitList.dat.
Mit Touchdisplay und Handschriftenerkennung füllt Windows fleißig die WaitList.dat. (Bild: STAN HONDA/AFP/Getty Images)

Die Handschriftenerkennung unter Windows verwandelt per Touchoberfläche oder Eingabestift geschriebene Wörter in formatierten Text. Sobald die Handschriftenerkennung das erste Mal verwendet wird, beginnt das Betriebssystem alle Texte die in Windows integrierte Suchfunktion indexiert in der Datei WaitList.dat abzulegen. Die Idee dahinter ist, die Erkennung zu optimieren und Korrekturen vorzuschlagen. Betroffen sind bei Weitem nicht nur Dateien, die mit der Touchoberfläche bearbeitet wurden, sondern ein Großteil der persönlichen Dateien auf dem Computer. Breitere Aufmerksamkeit bekam die Datei erst, als der Forensiker Barnaby Skeggs ein interessantes Szenario twitterte: Schadsoftware könnte Passwörter aus der Datei extrahieren, die sonst nirgends auf der Festplatte zu finden wären.

Stellenmarkt
  1. Spezialist für IT-Sicherheit (m/w/d)
    ekom21 - KGRZ Hessen, Gießen, Darmstadt, Kassel
  2. ERP-Administrator / Specialist (m/w/d)
    FLUX-GERÄTE GMBH, Köln, Maulbronn
Detailsuche

Entdeckt wurde die Datei WaitList.dat bereits 2016 durch Barnaby Skeggs. Dieser fand heraus, dass die Texte aus den unterschiedlichsten Dateien, Dateiformaten und Kontexten in die Datei gelangen. Darunter finden sich auch längst gelöschte Dateien, die in Textform in der WaitList.dat vorrätig gehalten werden. Für Forensiker ist die Datei eine Fundgrube.

Betroffen ist beispielsweise die Surface-Reihe von Microsoft, die üblicherweise sowohl einen Touchscreen als auch eine Stiftbedienung ermöglicht. Ähnliche Produkte anderer Hersteller sind ebenfalls betroffen. Voraussetzung ist mindestens Windows 8, mit welchem die Handschriftenerkennung eingeführt wurde.

Windows-Nutzer, die die Handschriftenerkennung von Microsoft verwenden und sich Sorgen um deren Inhalt machen, können die Datei löschen. Die Datei befindet sich unter folgendem Pfad: C:\Users\%User%\AppData\Local\Microsoft\InputPersonalization\TextHarvester\WaitList.dat Alternativ kann der Inhalt mit einem Tool von Barnaby Skeggs betrachtet werden. Der Forensiker hat das Programm auf Github als Python-Skript und .exe-Datei veröffentlicht.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


ptepic 25. Sep 2018

...mit Punkten und Reihenfolge, was man nach der Installation alles ausschalten...

Akhelos 22. Sep 2018

Die Datei befindet sich auf der lokalen Platte. Also wenn die jemand auslesen kann, wird...

Akhelos 22. Sep 2018

Und wo soll jetzt genau das Problem sein? Die Passwörter werden in einer Datei auf der...

chefin 21. Sep 2018

Handschrifteerkennung unter Windows7 ist kein windowseigene Software sondern eine...

Proctrap 20. Sep 2018

tool scheint bei Familie auch seine Dienste zu tun



Aktuell auf der Startseite von Golem.de
Lego Star Wars UCS AT-AT aufgebaut
"Das ist kein Mond, das ist ein Lego-Modell"

Ganz wie der Imperator es wünscht: Der Lego UCS AT-AT ist riesig und imposant - und eines der besten Star-Wars-Modelle aus Klemmbausteinen.
Ein Praxistest von Oliver Nickel

Lego Star Wars UCS AT-AT aufgebaut: Das ist kein Mond, das ist ein Lego-Modell
Artikel
  1. Kryptowährung im Fall: Bitcoin legt rasante Talfahrt hin
    Kryptowährung im Fall
    Bitcoin legt rasante Talfahrt hin

    Am Samstag setzte sich der Absturz des Bitcoin fort. Ein Bitcoin ist nur noch 34.200 US-Dollar wert. Auch andere Kryptowährungen machen Verluste.

  2. eStream: Airstream-Wohnwagen mit eigenem Elektroantrieb
    eStream
    Airstream-Wohnwagen mit eigenem Elektroantrieb

    Der Wohnwagen Airstream eStream besitzt einen eigenen Elektroantrieb nebst Akku. Das entlastet das Zugfahrzeug und eröffnet weitere Möglichkeiten.

  3. Andromeda: Dieses Microsoft-Smartphone-Betriebssystem erschien nie
    Andromeda
    Dieses Microsoft-Smartphone-Betriebssystem erschien nie

    Erstmals ist ein Blick auf Andromeda möglich - das Smartphone-Betriebssystem, das Microsoft bereits vor einigen Jahren eingestellt hat.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Corsair Vengeance RGB RT 16-GB-Kit DDR4-4000 120,95€ • Alternate (u.a. AKRacing Master Pro Deluxe 449,98€) • Seagate FireCuda 530 1 TB (PS5) 189,90€ • RTX 3070 989€ • The A500 Mini 189,90€ • Intel Core i9 3.7 459,50€ • RX 6700 12GB 869€ • MindStar (u.a. 1TB SSD 69€) [Werbung]
    •  /