Wird QuickLook verwendet, werden aufgerufene Bilder und andere Dokumentenarten automatisch in Form von Icon-Miniaturen (Thumbnails) zwischengespeichert. Dabei unterscheidet macOS nicht zwischen verschlüsselten und unverschlüsselten Dateien. Die Thumbnails lassen sich dann wiederum in einem Cache-Verzeichnis auffinden und anschauen – Zugriff auf das (unverschlüsselte) Hauptmedium des Macs vorausgesetzt.

Diese Tatsache scheint Datenforensikern in Firmen und Behörden schon lange bekannt zu sein, die den Tipp, sich diesen Bereich der Festplatte oder SSD doch einmal näher anzusehen, regelmäßig geben. Die Thumbnails werden zudem nicht automatisch gelöscht – auch nicht, wenn das Original entfernt oder der verschlüsselte Container, in denen es steckte, ausgewurfen wurde. Neben den Miniaturen selbst lassen sich auch Metadaten wie Dateinamen auffinden. So sei es auch möglich, eine Datenbank der Files zu erstellen, die auf entnehmbaren Medien wie USB-Sticks lagen.

Die Thumbnails sind zwar klein (bei Bildern etwa nur 128 mal 128 Pixel), aber insbesondere bei Fotos oft noch gut erkennbar. Bei Texten kommt es darauf an, wie groß der vom Nutzer verwendete Font ausfällt – grundsätzlich enthält das Icon-Thumbnail aber Inhalte aus dem Dokument.

Horizonzero hat geschrieben:auch mit der Live CD die keine Datenspeicherung zulässt kann man mit offener Hose vorm Bildschirm gestürmt werden ...