Man muss sich dazu eine Festplatte einfach wie ein Buch vorstellen (ein richtiges, kein Kindle). Das Inhaltsverzeichnis ist die Dateiverwaltungstabelle (FAT und MFT bei NTFS), das auf die einzelnen Kapitel des Buches verweist (die Dateien). L\u00f6scht oder formatiert man nun eine Festplatte, dann “rei\u00dft” Windows einfach dieses Inhaltsverzeichnis heraus, l\u00e4sst aber die Kapitel weiter auf der Festplatte liegen. Genau wie man als Mensch das Inhaltsverzeichnis dann mit Durchbl\u00e4ttern und Aufschreiben der Seitenzahlen der Kapitel rekonstruieren k\u00f6nnte, so macht dies auch eine Datenrettungssoftware wie O&O DiskRecovery<\/a>. Es geht die gesamte Festplatte durch, findet die Dateien und kann sie entsprechend wiederherstellen.<\/p>\n Bevor man Daten endg\u00fcltig l\u00f6schen kann, muss man zun\u00e4chst wissen, wo sich diese Daten \u00fcberhaupt befinden, denn oft ist es nicht nur die eigentliche Datei, die gel\u00f6scht werden muss. Beim Kopieren, Verschieben und Komprimieren von Dateien bleibt die urspr\u00fcngliche Version der Datei erhalten. Mit Vorsicht sind auch sogenannte Versionierungssysteme zu genie\u00dfen, bei denen explizit alte Versionen von Dateien gespeichert werden, um sie sp\u00e4ter zum Beispiel f\u00fcr Vergleiche und Wiederherstellungen zu nutzen. Insbesondere ist an dieser Stelle auf das Windows-Server-Betriebssystem mit seinen Schattenkopien hinzuweisen. Diese sollen den Benutzer vor dem versehentlichen \u00c4ndern oder L\u00f6schen von Dateien auf dem Server bewahren. Deshalb werden \u00c4nderungen an den Dateien in speziellen Speicherbereichen der Festplatte aufbewahrt, um so alte Versionen wiederherstellen zu k\u00f6nnen. Insofern ist das L\u00f6schen dieser (Schatten-)Dateien notwendig, um die Daten vollst\u00e4ndig zu vernichten.<\/p>\n Aber auch Windows selbst erstellt Kopien der Daten: Tempor\u00e4re Dateien enthalten Zwischenversionen der eigentlichen Datei und in der Auslagerungsdatei werden Speicherbereiche, die nicht mehr in den Hauptspeicher passen, aufbewahrt, um sp\u00e4ter wieder in den Hauptspeicher geladen zu werden. Tempor\u00e4re Dateien werden zwar in der Regel beim Beenden des zugeh\u00f6rigen Programms gel\u00f6scht, aber auch hier ist das L\u00f6schen wieder nur das Freigeben des Speicherplatzes auf der Festplatte, so dass sich auch diese Daten rekonstruieren lassen.<\/p>\n Daten verbergen sich aber auch noch an einigen anderen Stellen, auf die man als Benutzer normalerweise keinen Zugriff hat. Eines dieser Probleme stellen die sogenannten Cluster Tips dar. Jede Festplatte wird beim Formatieren in Zuordnungseinheiten (Bl\u00f6cke) unterteilt. Sie sind die kleinsten Einheiten einer Festplatte, die von dem Betriebssystem verwendet werden k\u00f6nnen. Bei den heutigen Gr\u00f6\u00dfen von Festplatten im Terabyte-Bereich sind Zuordnungseinheiten mit einer Gr\u00f6\u00dfe von 64 KByte keine Seltenheit mehr. F\u00fcr das Betriebssystem bedeutet dies, dass, selbst wenn eine Datei nur 12 KByte gro\u00df ist, sie dennoch einen Speicherbereich von 64 KByte belegt. Der Rest dieses Blocks bleibt ungenutzt.<\/p>\n Normalerweise ist dies nicht problematisch, aber Speicherbereiche werden ja auch wieder freigegeben und mit anderen Daten \u00fcberschrieben. Stellen wir uns nun vor, eine Datei h\u00e4tte die Gr\u00f6\u00dfe von 62 KByte und belegt damit einen Block. Diese Datei wird nun gel\u00f6scht, die Daten bleiben also erhalten, nur der Verzeichniseintrag verschwindet. In diesen Block wird nun eine neue Datei geschrieben. Ist diese Datei beispielsweise nur 10 KByte gro\u00df, werden auch nur die ersten 10 KByte des Blocks \u00fcberschrieben, der Rest der alten Datei von immerhin 52 KByte bleibt erhalten. Dieses Beispiel l\u00e4sst sich nat\u00fcrlich auf jede beliebige Datei \u00fcbertragen, denn auch gr\u00f6\u00dfere Dateien werden in Bl\u00f6cke aufgeteilt, so dass der letzte Block in der Regel nicht vollst\u00e4ndig belegt wird. Diese Datenfragmente werden als Cluster Tips bezeichnet. Das Problem hierbei ist, dass man an diese Fragmente nicht mehr herankommt, da der Block ja als zu einer existierenden Datei geh\u00f6rig markiert ist. Nur mit Hilfe spezieller L\u00f6schprogramme k\u00f6nnen diese Bereiche gel\u00f6scht werden. Dieses Verfahren wird als Wiping (Verwischen) bezeichnet.<\/p>\n Das Speichern der Daten auf einer Festplatte erfolgt durch die Magnetisierung kleinster Eisenpartikel, die entsprechend L\u00f6schen ist nicht gleich L\u00f6schen. So l\u00f6scht beispielsweise das Verschieben von Dateien in den Windows-Papierkorb und dessen anschlie\u00dfende Leerung die Daten nicht wirklich von der Festplatte. Vielmehr wird nur der Verzeichniseintrag entfernt, die eigentlichen Daten bleiben weiterhin auf der Festplatte und k\u00f6nnen somit rekonstruiert werden. Auch das Formatieren von Partitionen und selbst eine Low-Level-Formatierung auf BIOS-Ebene sind keine sichere L\u00f6schung, da die Daten \u2013 wenn auch mit mehr Aufwand \u2013 immer noch rekonstruiert werden k\u00f6nnen.<\/p>\n Ein- oder zweimaliges \u00dcberschreiben kann durch einen Fehlerfilter ausgeglichen werden und fr\u00fchere Daten k\u00f6nnen wieder zum Vorschein gebracht werden. Dabei bedient man sich des physikalischen Effekts, dass die Nullen und Einsen auf der Festplatte durch analoge Signale dargestellt werden. Diese entsprechen aber nie vollst\u00e4ndig einer 0 oder 1, sondern werden durch Verrauschen zu 0,05 beziehungsweise 1,05. Die Hardware gleicht diese Fehler durch Toleranzgrenzen aus, so dass eine 1 als 0,95 oder auch als 1,05 gespeichert sein kann. Aus diesen Schwankungen kann man mittels einer Mikroanalyse des analogen Datensignals und der Differenz zum zugeh\u00f6rigen Digitalsignal R\u00fcckschl\u00fcsse auf die vorherigen Datenwerte ziehen. Wird n\u00e4mlich eine 0 durch eine 0 \u00fcberschrieben, ergibt dies eine andere Feldst\u00e4rke als wenn eine 0 durch eine 1 \u00fcberschrieben wird. Dieses Verfahren ist zwar technisch aufw\u00e4ndig und auch nicht ganz billig, es zeigt aber, dass das blo\u00dfe \u00dcberschreiben der Daten sie nicht ausl\u00f6scht. Deshalb verwenden die gebr\u00e4uchlichen L\u00f6schverfahren auch immer eine Kombination aus einem Datenwert und dessen Komplement, um das geschilderte Differenzverfahren unbrauchbar zu machen.<\/p>\n Fragen zu diesem Thema gerne hier im Blog oder bei Facebook <\/a>oder Twitter<\/a>!<\/p>\n [sig_olaf_de]<\/p>\n","protected":false},"excerpt":{"rendered":"Wie werden Daten gespeichert?<\/h3>\n
Versteckte Datenspeicher<\/h3>\n
Daten \u201ezwischen den Zeilen\u201c<\/h3>\n
\nihrer Ausrichtung den Wert 0 oder 1 liefern. Diese Partikel sind auf der Oberfl\u00e4che der Platten aufgetragen und werden in Spuren unterteilt, so dass der Kopf der Festplatte die Daten lesen und schreiben kann. Daten werden aber nicht nur in der Hauptspur der Festplatte, sondern auch in deren R\u00e4nder geschrieben, d. h. diese Nebenspuren enthalten ebenfalls die Daten. Normalerweise ist dies nicht problematisch, da die Festplatte beim Lesen dieses \u201eRauschen\u201c
\nheraus filtert. F\u00fcr den potentiellen Angreifer sind diese Nebenspuren jedoch geeignet, die Daten wiederherzustellen.
\nFr\u00fcher wurden hierzu einfache Verfahren wie eine minimale Dejustierung der Festplattenk\u00f6pfe verwendet. Heutzutage
\nsind diese Nebenspuren aufgrund der h\u00f6heren Speicherdichte schwieriger zu erreichen. Daf\u00fcr sind ein erheblicher technischer und finanzieller Aufwand und sehr detailliertes Wissen notwendig, so dass vermutlich nur sehr gut ausgestattete Datenrettungsunternehmen oder staatliche Organisationen dazu in der Lage sind.<\/p>\nL\u00f6schen von Daten<\/h3>\n