Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
Deutsch
Entry № 677

MFT (Master File Table)

Was ist MFT (Master File Table)?

MFT (Master File Table)Die zentrale Metadatenstruktur von NTFS, die fuer jede Datei und jedes Verzeichnis einen 1024-Byte-Eintrag speichert und fast jede Windows-Dateisystem-Forensik traegt.

Die Master File Table ($MFT) ist das Herz des NTFS-Dateisystems; jede Datei, jedes Verzeichnis und sogar die MFT selbst wird durch einen Datensatz fester Groesse mit Attributen wie $STANDARD_INFORMATION, $FILE_NAME und $DATA dargestellt. Forensiker parsen die MFT, um Zeitstempel (die vier MACB-Zeiten in $SI und $FN), Dateigroessen, Parent-Child-Beziehungen, alternative Datenstroeme und den residenten Inhalt sehr kleiner Dateien zu rekonstruieren. Geloeschte Eintraege bleiben oft wiederherstellbar, bis sie ueberschrieben werden, was die MFT zu einer Schluesselquelle fuer Timeline-Analysen und Anti-Forensik-Erkennung macht. Werkzeuge wie MFTECmd, analyzeMFT oder Velociraptor normalisieren die Datensaetze fuer das Triage.

● Beispiele

  1. 01

    Wiederherstellung des urspruenglichen Dateinamens und Erstellungszeitpunkts eines geloeschten Malware-Samples aus einem residenten $MFT-Eintrag.

  2. 02

    Erkennen von Timestomping durch Vergleich der Zeitstempel in $STANDARD_INFORMATION und $FILE_NAME innerhalb desselben MFT-Eintrags.

● Häufige Fragen

Was ist MFT (Master File Table)?

Die zentrale Metadatenstruktur von NTFS, die fuer jede Datei und jedes Verzeichnis einen 1024-Byte-Eintrag speichert und fast jede Windows-Dateisystem-Forensik traegt. Es gehört zur Kategorie Forensik und Incident Response der Cybersicherheit.

Was bedeutet MFT (Master File Table)?

Die zentrale Metadatenstruktur von NTFS, die fuer jede Datei und jedes Verzeichnis einen 1024-Byte-Eintrag speichert und fast jede Windows-Dateisystem-Forensik traegt.

Wie funktioniert MFT (Master File Table)?

Die Master File Table ($MFT) ist das Herz des NTFS-Dateisystems; jede Datei, jedes Verzeichnis und sogar die MFT selbst wird durch einen Datensatz fester Groesse mit Attributen wie $STANDARD_INFORMATION, $FILE_NAME und $DATA dargestellt. Forensiker parsen die MFT, um Zeitstempel (die vier MACB-Zeiten in $SI und $FN), Dateigroessen, Parent-Child-Beziehungen, alternative Datenstroeme und den residenten Inhalt sehr kleiner Dateien zu rekonstruieren. Geloeschte Eintraege bleiben oft wiederherstellbar, bis sie ueberschrieben werden, was die MFT zu einer Schluesselquelle fuer Timeline-Analysen und Anti-Forensik-Erkennung macht. Werkzeuge wie MFTECmd, analyzeMFT oder Velociraptor normalisieren die Datensaetze fuer das Triage.

Wie schützt man sich gegen MFT (Master File Table)?

Schutzmaßnahmen gegen MFT (Master File Table) kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.

Welche anderen Bezeichnungen gibt es für MFT (Master File Table)?

Übliche alternative Bezeichnungen: $MFT, Master File Table.

● Verwandte Begriffe

● Siehe auch