Was steuert, wie oft der Appraiser läuft?

Der geplante Task unter \Microsoft\Windows\Application Experience\Microsoft Compatibility Appraiser, mit Triggern, die Leerlauf-Erkennung, zeitbasierte Trigger mit zufälliger Verzögerung und Energiestatus-Bewusstsein kombinieren. Der genaue Takt variiert je nach Build.

Warum ist der Appraiser auf Servern langsamer?

Microsoft stimmt den Appraiser so ab, dass er auf Server-SKUs weniger aggressiv läuft, um die Ressourcenauswirkung auf Produktionslasten zu minimieren. Server Core ist die konservativste Konfiguration.

Kann ich den Appraiser zwingen zu laufen?

Ja — Start-ScheduledTask -TaskPath '\Microsoft\Windows\Application Experience\' -TaskName 'Microsoft Compatibility Appraiser' aus einer elevierten PowerShell. Nützlich zum Testen oder zur Beschleunigung von Amcache während einer Triage.

Was bedeutet das für First-Seen-Zeitstempel?

KeyLastWriteTimestamp auf einer Workstation ist auf ~24 Stunden der tatsächlichen Ankunft der Datei auf der Festplatte genau. Auf Servern innerhalb ~5 Tagen. Für stundengenaue First-Seen-Präzision verwenden Sie Sysmon-File-Create-Events oder MFT $STANDARD_INFORMATION.CreationTime.

Was, wenn Amcache überhaupt nicht aktualisiert wird?

Prüfen Sie den geplanten Task — er könnte per GPO oder Build-Konfiguration deaktiviert sein. HKLM\SOFTWARE\Policies\Microsoft\Windows\DataCollection\AllowTelemetry = 0 deaktiviert ihn ebenfalls. Gehärtete Server und Hochsicherheitsumgebungen deaktivieren den Appraiser routinemäßig.

Wie oft wird Amcache.hve aktualisiert?

Der geplante Task Microsoft Compatibility Appraiser aktualisiert Amcache.hve ungefähr einmal pro Tag auf Windows-10- und 11-Workstations, alle 2 bis 5 Tage auf Windows Server mit Desktop Experience und wöchentlich oder seltener auf Server Core. Der Takt ist eine Kombination aus Leerlauf-Triggern und zeitbasierten Triggern mit zufälliger Verzögerung; der Appraiser ist außerdem energiebewusst und überspringt Läufe im Akkubetrieb. Praktisch: Ein auf einer Workstation abgelegtes Binärprogramm erscheint möglicherweise erst nach bis zu 24 Stunden in Amcache; auf einem Server bis zu mehreren Tagen.

Wie oft wird Amcache aktualisiert?

Der Compatibility Appraiser aktualisiert Amcache.hve ungefähr täglich auf Windows-10/11-Workstations, alle 2 bis 5 Tage auf Windows Server mit Desktop Experience und wöchentlich oder seltener auf Server Core. Der Takt kommt vom geplanten Task unter \Microsoft\Windows\Application Experience\Microsoft Compatibility Appraiser, der Leerlauf-Trigger und zeitbasierte Trigger mit zufälliger Verzögerung kombiniert und energiebewusst ist.

Für DFIR bedeutet das, dass Amcache der Echtzeit hinterherhängt:

Host-Typ	Typische Verzögerung von Datei-auf-Disk bis Amcache-Eintrag
Windows-10/11-Workstation	Bis zu ~24 Stunden
Windows Server mit Desktop Experience	2–5 Tage
Windows Server Core	Bis zu einer Woche oder mehr
Laptop im Modern Standby	Bis zu 36–48 Stunden
Akku-gebundenes Gerät	Variabel (Appraiser überspringt im Akkubetrieb)

Ein auf einem Host abgelegtes Binärprogramm erscheint möglicherweise erst nach diesem Fenster in Amcache. Für stundengenaue First-Seen-Präzision verwenden Sie stattdessen Sysmon-File-Create-Events (Event ID 11) oder MFT-$STANDARD_INFORMATION.CreationTime. Amcache glänzt bei „zu irgendeinem Zeitpunkt präsent" — nicht bei „in dieser exakten Sekunde präsent".

Den Appraiser zum Laufen zwingen#

Wenn Sie schnell frisches Amcache benötigen (während einer Triage), stoßen Sie den Task an:

# Elevated PowerShell
Start-ScheduledTask `
  -TaskPath '\Microsoft\Windows\Application Experience\' `
  -TaskName 'Microsoft Compatibility Appraiser'
 
# Wait 30-60s, then check LastRunTime
Get-ScheduledTaskInfo `
  -TaskPath '\Microsoft\Windows\Application Experience\' `
  -TaskName 'Microsoft Compatibility Appraiser'

Nach Abschluss sammeln Sie Amcache.hve und seine Transaktionsprotokolle erneut.

Wenn der Appraiser deaktiviert ist#

Anzeichen, dass der Appraiser nicht läuft:

Der geplante Task ist deaktiviert oder hat eine veraltete LastRunTime.
HKLM\SOFTWARE\Policies\Microsoft\Windows\DataCollection\AllowTelemetry = 0 (Group Policy deaktiviert CEIP / Telemetrie).
Die KeyLastWriteTimestamp-Verteilung von Amcache.hve endet zu einem bestimmten Datum ohne neuere Einträge.

Auf einem Host, auf dem der Appraiser deaktiviert ist, ist Amcache eingefroren. Es ist kein nützliches Artefakt für Ereignisse nach der Deaktivierungszeit. Verwenden Sie stattdessen Sysmon, EDR und das Sicherheitsereignisprotokoll.

Für die breitere Appraiser-Referenz siehe das Compatibility-Appraiser-Glossar. Für build-spezifische Takt-Details siehe Amcache auf Windows Server.

Wie oft wird Amcache aktualisiert?

Den Appraiser zum Laufen zwingen#

Wenn der Appraiser deaktiviert ist#

Verwandte Beiträge