Speicherabbild

Ein Speicherabbild, oft auch als Speicherauszug oder Memory Dump bezeichnet, ist eine Abbildung des Inhalts des Arbeitsspeichers (RAM) eines Computers zu einem bestimmten Zeitpunkt. Es dient der Analyse von Programmfehlern, Systemabstürzen und sicherheitsrelevanten Vorfällen, da es den aktiven Zustand eines Programms bzw. des Gesamtsystems exakt nachbildet.

Unterschieden wird zwischen vollständigen Speicherabbildern, die den gesamten RAM umfassen, sowie prozessbasierten Abbilden, die nur den Adressraum eines bestimmten Prozesses enthalten. Darüber hinaus existieren inkrementelle oder differenzielle Dumps, die nur geänderte Seiten liefern.

Erzeugung erfolgt durch spezialisierte Werkzeuge oder Betriebssystemmechanismen, oft im Zusammenspiel mit Kernel-Dump-Mechanismen. Beispiele: Linux-Kerneldump via kdump; makedumpfile zur Kompression und Filterung; Windows-Minidump und vollständige Memory-Dumps, erzeugt über Crash-Dump-Konfigurationen oder Debugging-Tools; Forensik-Tools wie LiME (Linux) oder FTK Imager. Der erzeugte Dump wird in Dateien gespeichert und kann mit Debuggern (z. B. WinDbg, GDB) analysiert werden.

Inhalte eines Speicherabbilds sind Rohdaten aus RAM: Programmcode und -daten, Stacks, Heap, globale Variablen, CPU-Registerzustände, der Kontext von Threads. Daraus lassen sich Abläufe rekonstruieren, Fehlerursachen feststellen oder sensible Daten nachweisen.

Anwendungsbereiche umfassen Software- und Systementwicklung, Fehlerdiagnose, Leistungsoptimierung und digitale Forensik. Zu beachten sind Datensicherheit und Privatsphäre: Speicherauszüge können Passwörter, Verschlüsselungsschlüssel oder personenbezogene Daten enthalten; der Umgang mit Dumps erfordert geeignete Berechtigungen und Schutzmaßnahmen. Die Größe von vollständigen Abbildern ist oft beträchtlich und erfordert Kompression oder Selektion.