Wer Fehler in Programmen oder Betriebssystemen aufspüren will, profitiert von Meldungen, die Software-Komponenten ins systemweite Protokoll (unified Log) schreiben. Das aktuelle Geschehen lässt sich sich mit dem Dienstprogramm "Konsole" beobachten. Dafür startet man zunächst das Programm starten und klickt auf "Start", damit aktuell generierte Meldungen auftauchen. Um in älteren Meldungen zu stöbern, empfiehlt sich das Programm Ulbow, welches Howard Oakley kostenlos bereitstellt. Allerdings entfernt macOS Log-Dateien automatisiert nach wenigen Tagen. Mit einem Trick, den Oakley in seinem aktuellen Blog-Beitrag beschreibt, kann man jedoch alte Protokolldateien wiederherstellen.


Dafür benötigt man ein Time-Machine-Backup von diesem Zeitpunkt – andere Backups sollten ebenfalls funktionieren. Wichtig ist, dass der Ordner "/private/var/db" gesichert wird. Darin befinden sich die beiden Ordner "diagnostics" sowie "uuidtext". Um die Log-Dateien eines bestimmten Datums wiederherzustellen, ist zunächst etwas Vorarbeit im Finder notwendig. Zunächst legen Sie sich einen Ordner an, in dem die wiederhergestellten Daten zwischenlagern können – beispielsweise im Dokumente-Ordner. Geben Sie ihm deinen Namen, der das zu untersuchende Datum enthält, etwa "log240921" für den 21. September 2024. Um die Log-Dateien eines früheren Backups wiederherzustellen, gehen Sie folgendermaßen vor:

Finder

• Im Finder öffnen Sie nun den Ordner "/private/var/db". Das gelingt am einfachsten, indem Sie den Befehl "Gehe zu Ordner …" aus dem Menü "Gehe zu" auswählen (Tastenkürzel +G), den Pfad hineinkopieren und mit der Eingabetaste bestätigen.
• Wählen Sie den Ordner "diagnostics" aus (nur auswählen, nicht öffnen).
• Rufen Sie "Time-Machine-Backups durchsuchen" aus dem Time-Machine-Menü aus.
• In der Zeitleiste auf der rechten Seite wählen Sie den Zeitpunt aus, der direkt nach dem gesuchten Datum liegt (etwa 22. September 2024).
• Tippen Sie unter dem Fenster auf "Wiederherstellen" und im darauffolgenden Dialog "Beide behalten".
• Geben Sie Ihr Administrations-Kennwort ein, wenn Sie danach gefragt werden.
• Diese Prozedur wiederholen Sie mit dem Ordner "uuidtext", welcher ebenfalls im Ordner "/private/var/db/" liegt.
• Die beiden Ordner "diagnostics (original) sowie "uuidtext (original)" bewegen Sie daraufhin in den vorhin angelegten Ordner für Log-Dateien, also beispielsweise in "Dokumente/log240921".
• Kürzen Sie das angehängte " (original)" aus den Ordnernamen.

Ulbow

• Starten Sie das Programm "Ulbow"
• Wählen Sie "Logarchive Tool" im Menü "Window".
• Klicken Sie "Make Logarchive"
• Suchen Sie den Ordner, in dem die wiederhergestellten Time-Machine-Objekte residieren – in unserem Beispiel "Documents/log240921/"
• Geben Sie einen Zielort an, wo das Log-Archiv abgelegt werden soll.
• Geben Sie der Datei einen passenden Namen, etwa "Protokollarchiv_21-09-22". Es erhält automatisch die Dateiendung ".logarchive".
• Über die Buttons "Catalogue" sowie "Analyze" und anschließendem Klick auf "Save" können Sie direkt aus dieser Ansicht Textdateien mit Katalog- beziehungsweise Analyseinformationen ausgeben.

Die logarchive-Datei öffnen Sie in Ulbow mittels "Open logarchive" aus dem File-Menü. Geben Sie im Fenster das Zeitfenster ein, welches Sie interessiert – nun können Sie die alten Protokolldateien nach Informationen durchforsten.


Keine Erfolgsgarantie
Howard Oakley weist darauf hin, dass er sein Werkzeug zum Durchstöbern von Log-Dateien auf Basis von äußerst spärlicher Dokumentation seitens Apple aufbaute: Ulbow entstand vorwiegend auf Basis von Erkenntnissen, welche er durch eigene Experimente und Reverse-Engineering gewann. Deshalb ist es möglich, dass die Erstellung von Log-Archiven fehlschlägt oder nur unvollständige Informationen enthält. Er jedenfalls konnte auf diese Weise sechs Wochen alte Protokolldateien seines Mac mini M4 wiederherstellen und analysieren, was der Migrationsassistent damals an Meldungen absetzte.