Was ein Programm nach der Installation am System wirklich aendert, kann kaum jemand erklaeren, solange vorher keine Ausgangsaufnahme entstanden ist.

Erst die Ausgangsaufnahme, dann handeln

RegShot ist ein quelloffenes Werkzeug zum Vergleich der Registry, veroeffentlicht unter LGPLv2. Die offizielle Projektseite bringt das Verfahren auf einen Satz: erst einen Schnappschuss der Registry aufnehmen, dann nach einer Systemaenderung oder einer Neuinstallation einen zweiten aufnehmen und beide vergleichen. Dieses Vorgehen braucht keinen dauerhaft laufenden Ueberwachungsprozess, es erfasst den Zustand nur zu den zwei gewaehlten Zeitpunkten und stoert das gepruefte System kaum.

Der Einsatzbereich ist breiter als gedacht. Zu sehen, welche Schluessel ein Installer schreibt, den Umfang einer Einstellungsaenderung zu bestaetigen oder eine unerklaerte Konfigurationsverschiebung auf einer Maschine zu verfolgen, folgt immer derselben Routine: eine Aufnahme davor, eine danach, dann beide Ergebnisse nebeneinander lesen. Die Projektseite ordnet das Werkzeug unter Protokollierung ein, was passt, denn im Kern ist es ein Instrument zur Beweissicherung.

Das Ergebnis ist eine lesbare Liste der Unterschiede

Der Vergleich wird zu einem Bericht zusammengestellt, der hinzugefuegte, geloeschte und geaenderte Registry-Eintraege getrennt auflistet. Die zwei in fremden Berichten meistgenannten Ausgabeformate sind reiner Text und HTML: das erste laesst sich leicht an andere Werkzeuge weitergeben, das zweite liest sich direkt im Browser, und die Aenderungen sind dort besser zu erkennen.

Der Community-Zweig Regshot-Advanced verfeinert die Ausgabe. Seine Dokumentation nennt Text, HTML, ein CMD-Skript allein zum Rueckgaengigmachen sowie ein UNL-Textformat fuer die maschinelle Auswertung und eine REG-Datei, die Registry-Aenderungen zuruecknehmen oder erneut abspielen kann. Die letzten beiden zaehlen fuer alle, die Aenderungen in eine automatisierte Kette einbinden: Man bekommt nicht nur eine Beschreibung, sondern eine Aufzeichnung, die sich zurueckrollen oder reproduzieren laesst.

Ein Hinweis zur Auswertung: zwei Aufnahmen anlegen, eine direkt nach der Installation und eine nach einem Neustart. Manche Installer schliessen ihre Eintraege erst beim Neustart ab, und eine einzige Aufnahme laesst dann die zweite Haelfte der Aenderungen aus. Wer den Bericht spaeter mit einem zweiten Rechner vergleicht, sollte ausserdem dieselbe Windows-Version und denselben Zeitpunkt im Update-Zyklus verwenden, sonst mischt sich der Vergleich mit Unterschieden, die nichts mit dem eigentlichen Test zu tun haben.

Der Wartungsstand verdient einen klaren Satz

Die offizielle Projektseite nennt den 7. Dezember 2020 als letzte Aktualisierung, und die neueste Datei im Verzeichnis regshot ist 1.9.1-beta, danach folgen 1.9.0, 1.9.0-beta und die 1.8-Reihe. Das Projekt wurde im Januar 2008 registriert, ist in C geschrieben und nutzt eine Win32-Oberflaeche: ein sehr kleines natives Programm mit wenigen Abhaengigkeiten, weshalb es bis heute oft zitiert wird.

Was waechst, ist der Zweig. Regshot-Advanced dokumentiert, dass es Dateisystem und Registry gemeinsam erfasst, mit dem Hauptzweck herauszufinden, was ein Installer am System getan hat; das README vermerkt die Abstammung von RegShot, dessen Originalprojekt auf SourceForge liegt, und die aktuelle Version v3.0.0. Wer feinere Ausgabeformate und Dateisystem-Abdeckung braucht, nimmt also diesen Zweig; fuer einen schlichten Vorher-Nachher-Vergleich der Registry genuegt das Original.

Aus dem, was sich geaendert hat, eine Liste zu machen, die man vorlegen und pruefen kann, ist der erste Schritt jeder Fehlersuche.

Ein paar Hinweise. Vor der Aufnahme andere Programme schliessen, die das System staendig anfassen, sonst fuellt sich der Bericht mit unpassenden Eintraegen. Den Vergleich exportieren und aufbewahren, damit ein aehnlicher Fall spaeter etwas zum Gegenueberhalten hat. Und auf einer Produktionsmaschine die Aufnahmen vor der Aenderung erstellen, nicht danach; eine danach erstellte Ausgangslage ist wertlos.