Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
Deutsch
Entry № 1034

Shimcache (AppCompatCache)

Was ist Shimcache (AppCompatCache)?

Shimcache (AppCompatCache)Windows-Registry-Wert, der Metadaten zu Executables fuer Anwendungs-Kompatibilitaetspruefungen speichert; historisch als Ausfuehrungsnachweis genutzt, mit wichtigen Interpretationseinschraenkungen.

Shimcache, offiziell Application Compatibility Cache (AppCompatCache), liegt in der SYSTEM-Hive unter ControlSet###\Control\Session Manager\AppCompatCache. Er protokolliert Pfad, Groesse und letztes Aenderungsdatum der vom AppCompat-Subsystem geprueften Executables sowie in einigen Windows-Versionen ein Execution-Flag. Der Cache wird erst beim Herunterfahren auf die Platte geschrieben, sodass Live-Extraktionen aktuelle Eintraege verlieren koennen; zudem belegt ein Eintrag nicht zwangslaeufig eine Ausfuehrung: auf aelteren Windows-Builds reichte schon der Wechsel in einen Ordner im Explorer. Auf modernen Systemen ist Amcache zuverlaessiger, doch Shimcache bleibt fuer Legacy-Hosts und als korroborierender Beleg wertvoll. Standardtool ist AppCompatCacheParser.

● Beispiele

  1. 01

    Nachweis der Ausfuehrung eines Angreifer-Tools auf einem Windows Server 2012 R2 mit duenner Amcache-Datenlage.

  2. 02

    Erkennen eines in C:\PerfLogs\ abgelegten Schadbinarys, obwohl es vor dem Herunterfahren geloescht wurde.

● Häufige Fragen

Was ist Shimcache (AppCompatCache)?

Windows-Registry-Wert, der Metadaten zu Executables fuer Anwendungs-Kompatibilitaetspruefungen speichert; historisch als Ausfuehrungsnachweis genutzt, mit wichtigen Interpretationseinschraenkungen. Es gehört zur Kategorie Forensik und Incident Response der Cybersicherheit.

Was bedeutet Shimcache (AppCompatCache)?

Windows-Registry-Wert, der Metadaten zu Executables fuer Anwendungs-Kompatibilitaetspruefungen speichert; historisch als Ausfuehrungsnachweis genutzt, mit wichtigen Interpretationseinschraenkungen.

Wie funktioniert Shimcache (AppCompatCache)?

Shimcache, offiziell Application Compatibility Cache (AppCompatCache), liegt in der SYSTEM-Hive unter ControlSet###\Control\Session Manager\AppCompatCache. Er protokolliert Pfad, Groesse und letztes Aenderungsdatum der vom AppCompat-Subsystem geprueften Executables sowie in einigen Windows-Versionen ein Execution-Flag. Der Cache wird erst beim Herunterfahren auf die Platte geschrieben, sodass Live-Extraktionen aktuelle Eintraege verlieren koennen; zudem belegt ein Eintrag nicht zwangslaeufig eine Ausfuehrung: auf aelteren Windows-Builds reichte schon der Wechsel in einen Ordner im Explorer. Auf modernen Systemen ist Amcache zuverlaessiger, doch Shimcache bleibt fuer Legacy-Hosts und als korroborierender Beleg wertvoll. Standardtool ist AppCompatCacheParser.

Wie schützt man sich gegen Shimcache (AppCompatCache)?

Schutzmaßnahmen gegen Shimcache (AppCompatCache) kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.

Welche anderen Bezeichnungen gibt es für Shimcache (AppCompatCache)?

Übliche alternative Bezeichnungen: AppCompatCache, AppCompat Cache.

● Verwandte Begriffe