Ihr Mac und Ihr Windows-PC führen Tagebuch über alles, was Sie tun: wie man es liest und wie man es abschaltet

Ihr Computer führt Tagebuch über Sie, und es ist nicht der Browserverlauf. macOS notiert, welche App vor Ihnen lag und wie lange, sekundengenau, wann der Bildschirm an- und ausging, welche Seiten Safari öffnete und welche Mitteilungen ankamen; unter macOS 26 an zwei Orten, in einer Datenbank namens knowledgeC und in 118 "Biome"-Streams, die Zwischenablage, WLAN, Standort und Siri-Anfragen abdecken. Windows hält jedes Programm fest, das Sie über das Startmenü gestartet haben, mit Zähler und Zeitstempel, die letzten acht Starts jeder ausführbaren Datei, einen Monat Netzwerkverkehr pro App und auf Copilot+ PCs alle paar Sekunden einen Screenshot. Nichts davon verlässt das Gerät von selbst, und das beruhigt und beunruhigt zugleich, denn wer das Gerät bekommt, bekommt das Tagebuch. Unten steht, was gespeichert wird, ein Skript pro System zum Lesen der eigenen Kopie und was sich abschalten lässt.

Was ein Mac sich merkt und wie man es liest

Die Forensik-Szene rund um Apple dokumentiert knowledgeC.db seit 2018, als die Forscherin Sarah Edwards sie als beste "Pattern of Life"-Quelle auf einem Mac beschrieb. Es ist der Speicher hinter Bildschirmzeit und Siri-Vorschlägen. Jede Zeile der Tabelle ZOBJECT ist ein Ereignis mit Stream-Name, Anfang und Ende: /app/usage ist die App im Vordergrund und wie lange, /display/isBacklit das Ein- oder Ausschalten des Bildschirms, /app/webUsage und /safari/history sind das Surfen, /notification/usage ist, was Sie angepingt hat. Auf unserem Test-Mac mit macOS 26.6 enthielt die Datenbank 757 Ereignisse, vier Wochen zurück bei der App-Nutzung und fünf Monate bei einigen Streams. Sie meldete 113 Stunden in Chrome, 5,7 im Terminal, 2,4 in Telegram und eine vollständige Zeitleiste des eingeschalteten Bildschirms bis hinunter zu einer Drei-Minuten-Sitzung um 21:25 an einem Freitag. Seit macOS Catalina verlagert Apple das meiste davon in Biome, ein Framework, das Howard Oakley 2022 als die Maschinerie hinter den Vorschlägen beschrieb: ~/Library/Biome/streams enthält je einen Ordner pro Stream, und die Stream-Namen sind eine Liste dessen, was beobachtet wird: App.InFocus, App.WebUsage, Pasteboard.Change, Device.Wireless.WiFi, Location.MicroLocationVisit, Notification.Usage, Media.NowPlaying, Siri.Query, ProactiveHarvesting.Safari.PageView, ProactiveHarvesting.Mail, ProactiveHarvesting.Messages, ProactiveHarvesting.Notes, ScreenTime.AppUsage, TextUnderstanding.Deletions.Document. Biome-Dateien liegen im Binärformat SEGB; forensische Werkzeuge lesen es, normale Nutzer nicht, aber Vorhandensein und Größe lassen sich leicht prüfen.

Das Skript unten kopiert die Datenbank in einen temporären Ordner (macOS sperrt die Live-Datei) und gibt die Zusammenfassung aus. Geben Sie dem Terminal zuerst Vollzugriff auf die Festplatte (Systemeinstellungen, Datenschutz & Sicherheit, Festplattenvollzugriff), und nehmen Sie ihn danach wieder weg, wenn Sie ihn nicht brauchen: Genau diese Berechtigung lässt jede App das Tagebuch lesen.

#!/bin/bash
# What this Mac remembers about you. Read-only.
T=$(mktemp -d)
cp ~/Library/Application\ Support/Knowledge/knowledgeC.db* "$T"/ 2>/dev/null || { echo "No access: give Terminal Full Disk Access first"; exit 1; }
DB="$T/knowledgeC.db"
echo "== Time in focus per app, last 7 days (hours)"
sqlite3 -column "$DB" "SELECT ROUND(SUM(ZENDDATE-ZSTARTDATE)/3600.0,1) AS hours, ZVALUESTRING AS app FROM ZOBJECT WHERE ZSTREAMNAME='/app/usage' AND ZSTARTDATE > strftime('%s','now','-7 days')-978307200 GROUP BY app ORDER BY hours DESC LIMIT 15;"
echo "== Screen on/off, last 15 events (local time)"
sqlite3 -column "$DB" "SELECT datetime(ZSTARTDATE+978307200,'unixepoch','localtime') AS at, CASE ZVALUEINTEGER WHEN 1 THEN 'on' ELSE 'off' END AS screen, ROUND((ZENDDATE-ZSTARTDATE)/60.0) AS minutes FROM ZOBJECT WHERE ZSTREAMNAME='/display/isBacklit' ORDER BY ZSTARTDATE DESC LIMIT 15;"
echo "== Every stream in the database: records and oldest entry"
sqlite3 -column "$DB" "SELECT ZSTREAMNAME AS stream, COUNT(*) AS records, datetime(MIN(ZSTARTDATE)+978307200,'unixepoch') AS oldest FROM ZOBJECT GROUP BY 1 ORDER BY 2 DESC;"
echo "== Biome streams that hold data"
for d in ~/Library/Biome/streams/restricted/*/local; do n=$(ls "$d" 2>/dev/null | grep -c '^[0-9]'); [ "$n" -gt 0 ] && echo "$(basename "$(dirname "$d")"): $n file(s), $(du -sh "$d" | cut -f1)"; done
rm -rf "$T"

Auf dem Mac herunterdrehen

Apple bietet keinen Schalter mit der Aufschrift "Protokollieren beenden". Es gibt die Funktionen, die von den Protokollen leben, und jede lässt sich abschalten. Bildschirmzeit ist die offensichtliche: Systemeinstellungen, Bildschirmzeit, ausschalten, wenn Sie sie nicht nutzen, dann baut sie ihre eigene Nutzungsdatenbank nicht weiter. Die größere Quelle sind Siri-Vorschläge: Systemeinstellungen, Apple Intelligence & Siri, "Siri-Vorschläge & Datenschutz", und dort für jede App "Aus dieser App lernen" und "Siri-Vorschläge in App anzeigen" abschalten; das ist die Einstellung, die Apples eigener Text mit "Siri erlauben, daraus zu lernen, wie du diese App verwendest" beschreibt. Die Speicher knowledgeC und Biome bleiben für die Zwecke des Systems bestehen, deshalb ist der zweite Schritt, sie zu löschen, wenn Sie neu anfangen wollen: im Terminal rm ~/Library/Application\ Support/Knowledge/knowledgeC.db* und rm -r ~/Library/Biome/streams/* ausführen, dann neu starten; macOS legt leere Speicher neu an. Der dritte Schritt zählt mehr als die ersten beiden. Öffnen Sie Systemeinstellungen, Datenschutz & Sicherheit, Festplattenvollzugriff und lesen Sie die Liste: Jede App darin kann das Tagebuch und alles andere in Ihrem Benutzerordner lesen. Lassen Sie FileVault an, lassen Sie den Bildschirm nach wenigen Minuten sperren, und geben Sie Gästen ein eigenes Konto; die Protokolle sind pro Benutzer, und ein gesperrter, verschlüsselter Mac gibt sie niemandem heraus.

Was Windows sich merkt und wie man es liest

Windows verteilt das Tagebuch auf mehrere Orte, und jeder ist von Forensikern dokumentiert, weil jeder das überlebt, was Nutzer für Löschen halten. UserAssist, ein Registry-Schlüssel unter HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist, hält jedes über Startmenü oder Explorer gestartete Programm mit Startzähler, Fokuszähler und Zeit des letzten Starts fest; die Namen liegen in ROT13, einer Buchstabenverschiebung, die vor niemandem etwas verbirgt, der sie kennt. Prefetch in C:\Windows\Prefetch hält pro ausführbarer Datei eine Datei mit den letzten acht Startzeiten, für bis zu 1.024 Programme. SRUM, der System Resource Usage Monitor unter C:\Windows\System32\sru\SRUDB.dat, ist das Protokoll hinter dem "App-Verlauf" des Task-Managers: rund ein Monat gesendeter und empfangener Bytes und verbrauchter Energie pro Anwendung, ob Sie hinsehen oder nicht. Der Aktivitätsverlauf in ActivitiesCache.db im lokalen Profil speichert geöffnete Apps, Dateien und Seiten; Microsoft hat die Option zum Hochladen im Januar 2024 gestrichen, die lokale Kopie bleibt. Und auf Copilot+ PCs macht Recall "alle paar Sekunden und bei Änderung des Inhalts des aktiven Fensters einen Schnappschuss des aktiven Bildschirms", indexiert Text und Bilder und speichert sie lokal hinter Windows Hello. Es ist opt-in und auf verwalteten Geräten standardmäßig entfernt, es lässt sich nach Apps und Websites filtern; und es bleibt ein durchsuchbarer Film von allem, was Sie angesehen haben.

# What this PC remembers about you. Read-only. Run PowerShell as administrator for Prefetch and Recall.
function Rot13([string]$s){ -join ($s.ToCharArray() | ForEach-Object { $c=[int]$_; if($c -ge 65 -and $c -le 90){[char]((($c-65+13)%26)+65)} elseif($c -ge 97 -and $c -le 122){[char]((($c-97+13)%26)+97)} else {[char]$c} }) }
Write-Host "== UserAssist: programs started from Start or Explorer (runs, last run)"
Get-ChildItem 'HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist' | ForEach-Object {
  $count = Join-Path $_.PSPath 'Count'
  if (Test-Path $count) {
    (Get-ItemProperty $count).PSObject.Properties | Where-Object { $_.Name -notlike 'PS*' -and $_.Value -is [byte[]] -and $_.Value.Length -ge 68 } | ForEach-Object {
      $b = $_.Value; $runs = [BitConverter]::ToInt32($b, 4); $ft = [BitConverter]::ToInt64($b, 60)
      if ($runs -gt 0 -and $ft -gt 0) { [pscustomobject]@{ Runs=$runs; LastRun=[DateTime]::FromFileTime($ft); Program=(Rot13 $_.Name) } }
    }
  }
} | Sort-Object LastRun -Descending | Select-Object -First 25 | Format-Table -AutoSize
Write-Host "== Prefetch: last 20 programs Windows saw start"
Get-ChildItem C:\Windows\Prefetch -Filter *.pf -ErrorAction SilentlyContinue | Sort-Object LastWriteTime -Descending | Select-Object -First 20 Name, LastWriteTime | Format-Table -AutoSize
Write-Host "== Activity history and SRUM databases"
Get-ChildItem "$env:LOCALAPPDATA\ConnectedDevicesPlatform" -Recurse -Filter ActivitiesCache.db -ErrorAction SilentlyContinue | Select-Object FullName, Length, LastWriteTime | Format-Table -AutoSize
Get-Item C:\Windows\System32\sru\SRUDB.dat -ErrorAction SilentlyContinue | Select-Object FullName, Length, LastWriteTime | Format-Table -AutoSize
Write-Host "== Recall (Copilot+ PCs only)"
Get-WindowsOptionalFeature -Online -FeatureName Recall -ErrorAction SilentlyContinue | Select-Object FeatureName, State

Unter Windows herunterdrehen, und der Teil, der nicht technisch ist

Vier Einstellungen decken das meiste ab. Einstellungen, Datenschutz & Sicherheit, Allgemein: "Windows erlauben, Start- und Suchergebnisse durch Nachverfolgen von App-Starts zu verbessern" abschalten; damit enden neue UserAssist-Einträge, die alten bleiben, bis Sie die Count-Schlüssel unter UserAssist im Registrierungs-Editor löschen. Einstellungen, Datenschutz & Sicherheit, Aktivitätsverlauf: "Meinen Aktivitätsverlauf auf diesem Gerät speichern" abschalten und "Verlauf löschen" drücken. Auf einem Copilot+ PC: Einstellungen, Datenschutz & Sicherheit, Recall & Schnappschüsse: das Speichern von Schnappschüssen abschalten und sie löschen, oder die Funktion über "Windows-Features aktivieren oder deaktivieren" ganz entfernen, was laut Microsoft alle gespeicherten Schnappschüsse löscht. Prefetch und SRUM haben keinen Schalter: Prefetch lässt sich in der Registry abschalten, um den Preis langsamerer Starts, und SRUM wird vom Diagnoserichtliniendienst neu angelegt, sobald die Datei entfernt wird. Wie auf dem Mac ist die Verteidigung, die hält, BitLocker oder Geräteverschlüsselung mit starker Anmeldung und sperrendem Bildschirm, plus ein eigenes Standardkonto für jeden, der das Gerät sonst noch nutzt.

Für alle, denen Privatsphäre wichtig ist, folgt daraus zweierlei. Erstens ist "nur lokal" ein Versprechen über die Cloud, nicht über Sie: Apple und Microsoft haben recht, dass diese Speicher das Gerät nicht verlassen, und sie bleiben die vollständigste Aufzeichnung Ihres Tages, die es irgendwo gibt. Zweitens lässt dieselbe Berechtigung, die Sie lesen lässt, jedes Werkzeug lesen, und deshalb bedeutet es, einem KI-Assistenten Festplattenvollzugriff oder Administratorrechte zu geben, damit er "Ihre Gewohnheiten analysiert", wie die viralen Prompts vorschlagen, vier Wochen Ihres Lebens an das Modell zu schicken, das gerade antwortet. Lesen Sie das Tagebuch selbst; die Skripte oben reichen dafür.