Skip to content
FSEvents Parser

Glossar

AppleDouble (._-Dateien)

Begleitdateien ._name, die macOS auf FAT-, exFAT- und Netzwerk-Volumes schreibt, um erweiterte Attribute und Resource Forks zu speichern.

AppleDouble ist das Format, auf das macOS ausweicht, wenn ein Volume Mac-Metadaten nicht nativ speichern kann. Auf FAT32, exFAT und manchen Netzwerkfreigaben gibt es keinen Platz für erweiterte Attribute oder einen Resource Fork. macOS schreibt sie daher in eine versteckte Begleitdatei, deren Name aus dem Originalnamen mit vorangestelltem ._ besteht: ._report.pdf neben report.pdf. Auf APFS- und HFS+-Volumes bleiben die Metadaten an der Datei, und es entsteht keine Begleitdatei.

Warum das für Untersuchungen wichtig ist

USB-Sticks und externe Festplatten, die für Windows und Mac verkauft werden, sind meist mit exFAT oder FAT32 formatiert. AppleDouble-Dateien darauf sind deshalb ein Fingerabdruck dafür, dass ein Mac auf sie geschrieben hat. Wird ein solcher Datenträger gesichert und sein eigener .fseventsd-Ordner ausgewertet, erscheint jede vom Mac kopierte Datei mit einem erweiterten Attribut (einem Quarantäne-Attribut, einem Herkunftsattribut, Finder-Tags) in der Regel zweimal: unter ihrem eigenen Namen und als ._name, erstellt bei nahezu derselben Event-ID.

Dieses Paar hilft auf dreierlei Weise. Es zeigt, dass die Kopie von einem Mac und nicht von einem Windows- oder Linux-Rechner stammt. Es belegt, dass die Dateien Metadaten trugen, was auf ihre Herkunft hinweisen kann (ein Download, ein Mail-Anhang). Und die ._-Namen bleiben auf dem Datenträger erhalten, nachdem die Originale gelöscht wurden, sofern niemand dot_clean ausführt oder sie gezielt entfernt. Der FSEvents Parser behandelt ._-Pfade als erwartetes Rauschen und nimmt sie aus seinem Befund zu kurzlebigen Dateien heraus.

Beispiel

Im synthetischen Beispiel enthält die Historie des Sticks EXFIL für jedes der 48 Finanzdokumente:

  • exfil/Q3-forecast-2026.xlsx mit Created;Modified;File
  • exfil/._Q3-forecast-2026.xlsx mit Created;Modified;File

Zusammen mit dem Mount-Datensatz Volumes/EXFIL auf dem Data-Volume des Macs zeigt das, welche Dateien auf den Stick geschrieben wurden und dass ein Mac sie geschrieben hat.

Verwandte Begriffe

Laden Sie den .fseventsd-Ordner eines Datenträgers in den FSEvents Parser und verfolgen Sie den ganzen Fall im Exfiltrationsbeispiel.