In Memory Dump? oder ist das nur bei Absturz und nicht bei normal Schutdown?

Kann man Forensik untersuchen, was man im Arbeitsspeicher vor einigen Monaten hatte?