Handschriftenerkennung: Schattendatei in Windows speichert Texte und Passwörter

Die Handschriftenerkennung unter Windows verwandelt per Touchoberfläche oder Eingabestift geschriebene Wörter in formatierten Text. Sobald die Handschriftenerkennung das erste Mal verwendet wird, beginnt das Betriebssystem alle Texte die in Windows integrierte Suchfunktion indexiert in der Datei WaitList.dat abzulegen. Die Idee dahinter ist, die Erkennung zu optimieren und Korrekturen vorzuschlagen. Betroffen sind bei Weitem nicht nur Dateien, die mit der Touchoberfläche bearbeitet wurden, sondern ein Großteil der persönlichen Dateien auf dem Computer. Breitere Aufmerksamkeit bekam die Datei erst, als der Forensiker Barnaby Skeggs ein interessantes Szenario twitterte: Schadsoftware könnte Passwörter aus der Datei extrahieren, die sonst nirgends auf der Festplatte zu finden wären.

Entdeckt wurde die Datei WaitList.dat bereits 2016 durch Barnaby Skeggs. Dieser fand heraus, dass die Texte aus den unterschiedlichsten Dateien, Dateiformaten und Kontexten in die Datei gelangen. Darunter finden sich auch längst gelöschte Dateien, die in Textform in der WaitList.dat vorrätig gehalten werden. Für Forensiker ist die Datei eine Fundgrube.

Betroffen ist beispielsweise die Surface-Reihe von Microsoft, die üblicherweise sowohl einen Touchscreen als auch eine Stiftbedienung ermöglicht. Ähnliche Produkte anderer Hersteller sind ebenfalls betroffen. Voraussetzung ist mindestens Windows 8, mit welchem die Handschriftenerkennung eingeführt wurde.

Windows-Nutzer, die die Handschriftenerkennung von Microsoft verwenden und sich Sorgen um deren Inhalt machen, können die Datei löschen. Die Datei befindet sich unter folgendem Pfad: C:\Users\%User%\AppData\Local\Microsoft\InputPersonalization\TextHarvester\WaitList.dat Alternativ kann der Inhalt mit einem Tool von Barnaby Skeggs betrachtet werden. Der Forensiker hat das Programm auf Github als Python-Skript und .exe-Datei veröffentlicht.