Warum sind „gelöschte“ Daten oft noch wiederherstellbar?
Kurzantwort
Weil „löschen“ die Daten normalerweise nicht beseitigt. Es entfernt die Dateisystem-Metadaten — den Zeiger/den Verzeichniseintrag — und markiert die Blöcke als frei, aber die ursprünglichen Bytes bleiben auf der Platte, bis das Betriebssystem diese Blöcke für neue Daten wiederverwendet. Bis dieses Überschreiben geschieht, können forensische Werkzeuge den Inhalt direkt herausziehen.
Die alltägliche Bedeutung von „löschen“ — es ist weg — ist die Falle. Kandidaten nehmen an, Entfernen sei gleich Zerstören. Der Interviewer will das mentale Modell davon, wie Dateisysteme tatsächlich Speicher freigeben, denn dieses Modell liegt sowohl der Forensik als auch der sicheren Entsorgung zugrunde.
Was „löschen“ wirklich macht
Ein Dateisystem verfolgt Dateien mit Metadaten: ein Verzeichniseintrag plus ein Datensatz (Inode, MFT-Eintrag usw.), der auf die Datenblöcke zeigt. Wenn Sie eine Datei löschen, entkoppelt das Betriebssystem typischerweise nur diesen Zeiger und kennzeichnet die zugrunde liegenden Blöcke als zur Wiederverwendung verfügbar. Es bereinigt die Blöcke nicht. Die ursprünglichen Bytes bleiben dort, intakt, bis das Betriebssystem später dieselben Blöcke einer anderen Datei zuweist und darüber schreibt. Bis zu diesem Moment sind die Daten remanent.
Warum die Wiederherstellung funktioniert
Zwei Techniken nutzen das aus. Sind die Metadaten noch teilweise vorhanden, verknüpfen Undelete-Werkzeuge sie erneut. Sind die Metadaten weg, durchsucht File-Carving die rohe Platte nach bekannten Dateisignaturen (Header/Footer, etwa die Magic-Bytes eines JPEG) und rekonstruiert Dateien ganz ohne Hilfe des Dateisystems. Das ist Routine in der DFIR — und ein echtes Risiko beim Entsorgen von Datenträgern.
Die erwähnenswerten Feinheiten
- SSDs verkomplizieren das: TRIM und Wear-Leveling bedeuten, dass der Controller Blöcke proaktiv löschen oder verschieben kann, sodass das Verhalten von rotierenden Platten abweicht.
- Sicheres Löschen bedeutet, die Daten zu überschreiben (oder, zuverlässiger, kryptografisches Löschen — den Verschlüsselungsschlüssel zu zerstören, sodass der Chiffretext nicht wiederherstellbar ist).
Worauf Interviewer achten
Die Unterscheidung Zeiger-versus-Daten, die Formulierung „bis es überschrieben wird“ und idealerweise die Erwähnung von Carving plus, warum SSD/Verschlüsselung das Bild verändert. Das zeigt forensische Intuition, keinen Volksglauben.
Wahrscheinliche Anschlussfragen
- Wie stellt File-Carving Daten ohne die Dateisystem-Metadaten wieder her?
- Warum ist sicheres Löschen bei SSDs schwieriger als bei rotierenden Platten?
- Was ist der Unterschied zwischen Löschen, Wipen und kryptografischem Löschen?