Was ist ein Windows FILETIME-Zeitstempel?

Ein Windows FILETIME-Zeitstempel ist ein 64-Bit-Wert, der die Anzahl der 100-Nanosekunden-Intervalle darstellt, die seit dem 1. Januar 1601 um 00:00:00 UTC vergangen sind. Diese Epoche liegt genau 369 Jahre vor der bekannteren Unix-Epoche (1. Januar 1970). Microsoft wählte diesen Ausgangspunkt, da er den Beginn eines 400-Jahres-Zyklus im Gregorianischen Kalender markiert, was die Berechnung von Schaltjahren vereinfacht.

FILETIME-Werte kommen in Windows-Systemen an vielen Stellen vor, darunter NTFS-Datei-Metadaten, Active Directory-Attribute (wie accountExpires, lastLogonTimestamp und pwdLastSet), Windows-Registrierungseinträge und LDAP-Verzeichnisabfragen. Da diese Zeitstempel als große Ganzzahlen und nicht als lesbare Datumsangaben gespeichert werden, erfordert die manuelle Konvertierung sowohl die Kenntnis des Epochen-Offsets als auch des Tick-Intervalls.

Tool-Beschreibung

Dieses Tool konvertiert Windows FILETIME-Zeitstempel in lesbare Datums- und Zeitformate und umgekehrt. Fügen Sie einen FILETIME-Wert ein, um sofort das entsprechende Datum in mehreren Formaten anzuzeigen, oder wählen Sie ein Datum und eine Uhrzeit, um den passenden FILETIME-Wert zu erzeugen. Alle Konvertierungen sind zeitzonenbewusst und verfügen über eine durchsuchbare Zeitzonenauswahl.

Beispiele

Windows FILETIME Datum (UTC)
132812448000000000 2021-12-01 00:00:00
116444736000000000 1970-01-01 00:00:00 (Unix-Epoche)
130000000000000000 2012-02-17 05:46:40
133600000000000000 2024-05-17 04:26:40

Funktionen

  • Bidirektionale Konvertierung zwischen Windows FILETIME-Ticks und lesbaren Datumsangaben
  • Mehrere Ausgabeformate: FILETIME-Ticks, Unix-Zeitstempel (Sekunden), ISO 8601, UTC, Ortszeit und relative Zeit
  • Durchsuchbare Zeitzonenauswahl mit UTC-Offset-Anzeige für eine genaue Ortszeit-Konvertierung
  • Schaltfläche zum Einfügen der aktuellen Zeit als Windows-Zeitstempel mit einem Klick
  • Datums- und Uhrzeitauswahl für die umgekehrte Konvertierung von einem gewählten Datum zurück zu FILETIME

Funktionsweise

Der Konverter wendet einen festen Offset an, um zwischen der Windows- und der Unix-Epoche zu übersetzen. Die Windows-Epoche beginnt am 1. Januar 1601, während die Unix-Epoche am 1. Januar 1970 beginnt. Die Differenz zwischen diesen beiden Daten beträgt genau 11.644.473.600 Sekunden bzw. 116.444.736.000.000.000 in 100-Nanosekunden-Ticks.

Um einen FILETIME-Wert in ein Datum umzuwandeln, subtrahiert das Tool den Epochen-Offset und dividiert durch 10.000, um Millisekunden seit der Unix-Epoche zu erhalten. Für die umgekehrte Richtung werden die Unix-Millisekunden mit 10.000 multipliziert und der Offset wieder addiert. Alle Berechnungen verwenden BigInt, um die volle 64-Bit-Genauigkeit von FILETIME-Werten zu erhalten.

Anwendungsfälle

  • Systemadministration: Dekodieren Sie Active Directory-Attribute wie lastLogonTimestamp oder pwdLastSet bei der Fehlersuche bei Kontoproblemen oder der Überprüfung von Benutzeraktivitäten
  • Digitale Forensik: Konvertieren Sie NTFS-Dateizeitstempel während der Incident-Response, um Zeitabläufe aus Windows-Disk-Images oder Ereignisprotokollen zu rekonstruieren
  • Softwareentwicklung: Debuggen oder überprüfen Sie FILETIME-Werte, die in Windows-APIs, Registrierungseinträgen oder Datei-Metadaten während der Anwendungsentwicklung auftreten