IT Forensics – Windows

Forensic analysis of the Windows font cache – clues regarding document and programme usage

Der Windows Font Cache dient der Optimierung der Darstellung installierter Schriftarten. Die zugehörigen Cache-Dateien können im Rahmen einer IT-forensischen Untersuchung zusätzliche Hinweise auf die Nutzung bestimmter Anwendungen, Dokumente oder Schriftarten liefern.

Enquire without obligation

Der Font Cache besitzt in der Regel keinen eigenständigen Beweiswert. Seine Bedeutung ergibt sich vielmehr aus der Korrelation mit weiteren Artefakten wie Dateisystemspuren, Prefetch-Dateien, Jump Lists, Registry-Einträgen und Ereignisprotokollen. Erst die Gesamtauswertung ermöglicht eine belastbare technische Bewertung.

Why LanCologne?

Since its foundation, LanCologne has specialised in professional IT forensics. Our staff have decades of experience in the field of information technology and provide support to businesses, solicitors, private individuals and, on a regular basis, the courts.

The examination is carried out exclusively on a forensic copy or a forensic image. The original evidence remains unchanged and is stored in a manner that preserves its evidential integrity.

Our services

Analysis of font cache files, evaluation of installed fonts, correlation with other Windows artefacts, and full documentation of all investigation steps.

Typical areas of application

•Document forensics
•Reconstruction of user activities
•Malware investigations
•Corporate Forensics
•Employment law proceedings
•Expert reports for the courts

This is how the analysis works

Once a forensic image has been created, any font cache artefacts are identified, analysed and technically categorised alongside other digital traces.

Warum ist der Font Cache wichtig?

The font cache can provide additional clues regarding the use of specific applications or documents, thereby contributing to the overall reconstruction of a digital scenario.

Frequently Asked Questions

Welche Informationen enthält der Font Cache?+
Je nach Windows-Version Informationen über zwischengespeicherte Schriftarten und deren Nutzung.
Kann daraus ein Dokument eindeutig nachgewiesen werden?+
Nein. Der Font Cache besitzt für sich genommen keinen eindeutigen Beweiswert und wird immer im Gesamtkontext bewertet.
Is the original system being examined?+
No. Only a forensic copy or forensic image is analysed.
Ist der Font Cache gerichtsrelevant?+
Er kann als ergänzendes Artefakt Bestandteil einer umfassenden forensischen Bewertung sein.

LanCologne – Windows Forensics in Cologne

LanCologne helps you carry out a legally admissible analysis of the Windows font cache and objectively reconstruct digital user activities.

Get in touch now