Benutzer glauben möglicherweise, dass ein Dokument nicht mehr existiert, wenn sie eine Datei auf ihrer Festplatte löschen. IT-Fachleute wissen jedoch, dass die Daten selbst möglicherweise erhalten bleiben.
Doch selbst erfahrene IT-Fachleute verstehen möglicherweise nicht die Unterschiede zwischen den verschiedenen Arten der Dateilöschung auf Festplatten, Standards zum Überschreiben von Daten oder die Fälle, in denen diese Methoden möglicherweise daran scheitern, Daten von einer Festplatte zu löschen. Je nach Sensibilität der Informationen muss ein IT-Fachmann möglicherweise anspruchsvollere Löschverfahren einsetzen oder sogar die Festplatte selbst zerstören.
Wir gehen kurz darauf ein, wie Festplatten und Flash-Laufwerke Daten speichern, doch für Sicherheitsfachleute mit Aufgaben in der digitalen Forensik und Compliance ist die Diskussion alles andere als akademisch.
Grundlegende Datenlöschung
Wenn eine Festplatte (oder ein USB-Laufwerk) weiterverwendet werden soll, funktioniert das Löschen einer Datei über das Betriebssystem problemlos. Benutzer sollten jedoch daran erinnert werden, den Papierkorb auf ihrem Desktop zu leeren; andernfalls wurde die Datei lediglich in den Papierkorb verschoben.
Sobald der Benutzer den Papierkorb leert, entfernt das Betriebssystem die Dateiinformationen aus dem Speicherverzeichnis. Der zuvor von der Datei belegte Speicherbereich wird als zum Überschreiben verfügbar markiert.
Wichtig ist, dass die Dateidaten selbst weiterhin auf der Festplatte vorhanden sind, bis die Festplatte die Daten mit neuen Daten überschreibt. Mit der Zeit sollte jedoch jede gelöschte Datei schließlich durch neue Daten überschrieben werden, solange das Speichergerät verwendet wird.
Lesen Sie auch: Die 9 besten Lösungen zur Verhinderung von Datenverlust (DLP)
Festplatten und ihre Löschmethoden
Benutzer speichern Daten lokal auf Festplatten (Magnetplatten oder Flash-Speicher), USB-Laufwerken (Flash-Speicher) oder gemeinsam genutzten Netzlaufwerken. Netzlaufwerke können virtuell oder physisch, cloudbasiert oder auf einem lokalen Server basierend sein und entweder aus einer einzelnen Festplatte oder einem redundanten Array unabhängiger Festplatten (RAID) bestehen, bei dem Daten auf mehrere Festplatten geschrieben werden.
Die folgenden Informationen konzentrieren sich zwar hauptsächlich auf physische Laufwerke, doch dieselben Prinzipien gelten auch für virtuelle Laufwerke. Unabhängig davon, ob ein virtuelles Laufwerk Teil einer größeren physischen Festplatte ist, mehrere physische Festplatten umfasst oder ausschließlich im Computerspeicher existiert: Die Daten des virtuellen Laufwerks werden wahrscheinlich irgendwann zur Speicherung auf einen Flash-Speicher oder eine physische Magnetplatte geschrieben.
Um zu verstehen, wie gründlichere Löschmethoden auf jedem Laufwerk funktionieren, müssen wir die technischen Details der Datenspeicherung auf Festplatten verstehen. Insbesondere sollten wir ein grundlegendes Verständnis davon haben, wie Dateien auf Speicher geschrieben werden, welche Arten von Festplattentechnologien es gibt und wann Daten auf der Festplatte für das Betriebssystem möglicherweise nicht zugänglich sind.
Grundlagen des Schreibens von Dateien
Wenn ein Betriebssystem eine Datei auf ein Laufwerk schreiben muss, durchsucht es das Laufwerk nach einem freien Speicherbereich. Dieser Bereich besteht aus einem oder mehreren Sektoren auf dem Laufwerk.
Die Größe von Festplattensektoren hat sich im Laufe der Zeit verändert, doch aktuelle Laufwerke verwenden Sektoren mit einer Größe zwischen 512 Byte und 4096 Byte. Wenn die Datei nicht den gesamten Speicherplatz des Sektors belegt, bleibt ein Teil des Sektors frei. Wenn die Datei später größer wird, belegt sie zusätzliche Sektoren.
Das Betriebssystem führt anschließend ein Verzeichnis der Dateien und ihrer zugehörigen Speicherorte auf dem Laufwerk. Da Sektoren nicht zusammenhängend sein müssen, können Dateien nach einiger Zeit an vielen verschiedenen Orten gespeichert sein, wodurch die Effizienz sinkt. Einige Anwendungen zur Bereinigung von Festplatten können die Dateien auf dem Laufwerk jedoch neu organisieren oder neu schreiben, um möglichst viele zusammenhängende Sektoren zu schaffen.
Beim einfachen Löschen einer Datei wird diese aus dem Dateiverzeichnis des Betriebssystems entfernt. Die in den verschiedenen Sektoren der Festplatte geschriebenen Daten werden jedoch nicht ersetzt.
Lesen Sie auch: Die besten GRC-Tools und -Softwarelösungen
Magnet- und Flash-Laufwerke
Physische Festplatten verwenden eine von zwei Technologien: Magnetplatten oder Flash-Speicher. Der Unterschied zwischen diesen Technologien wird bei der Löschung aufgrund der unterschiedlichen Verfahren relevant, mit denen die Technologien Daten speichern und die Alterung des Mediums verwalten.
Festplatten mit Magnetplatten
Magnetfestplatten speichern Daten in Sektoren, indem sie die Magnetplatten im Laufwerk magnetisieren. Einige Sektoren des Laufwerks sind der Firmware zugewiesen, die die Festplatte verwaltet und mit dem Betriebssystem kommuniziert.
Mit zunehmendem Alter des Laufwerks wird die Magnetisierung schwächer, und die Festplattenköpfe, die die Daten lesen, können immer schwerer zwischen Nullen und Einsen in der Binärdatei unterscheiden. Sobald die Binärdaten den vorgegebenen Fehlerschwellenwert unterschreiten, markiert die Festplatte den Sektor als fehlerhaft und kopiert die Daten in einen neuen Sektor der Festplatte.
Die Firmware von Magnetfestplatten informiert das Betriebssystem normalerweise nicht über neu zugewiesene fehlerhafte Sektoren. Stattdessen leitet die Verwaltungsfirmware der Festplatte Aufrufe des Betriebssystems für neu zugewiesene Sektoren automatisch an den neuen Sektor um.
Festplatten mit Flash-Speicher
Flash-Laufwerke programmieren Transistoren auf den Floating-Gate-Speicherchips in der Festplatte oder dem USB-Flash-Laufwerk. Die Daten werden in Zellen geschrieben, die hinsichtlich Größe und Funktion den Sektoren einer Magnetfestplatte entsprechen. Ein separater Chip oder ein Teil eines Speicherchips ist der Firmware zugewiesen, die das Flash-Laufwerk verwaltet und mit dem Betriebssystem kommuniziert.
Mit zunehmendem Alter des Laufwerks zählt der Verwaltungsalgorithmus des Flash-Laufwerks die Anzahl der Lese- und Schreibvorgänge für jede Speicherzelle. Sobald eine vorgegebene Anzahl von Lese-/Schreibvorgängen durchgeführt wurde, gilt die Zelle als ausfallgefährdet, wird als fehlerhaft markiert und ihre Daten werden in eine neue Zelle kopiert.
Wie bei Magnetlaufwerken informiert die Firmware das Betriebssystem weder über fehlerhafte Zellen noch über das Kopieren von Daten in neue Zellen. Stattdessen verwaltet die Verwaltungssoftware den Vorgang unsichtbar und leitet Datenanforderungen an die neuen Speicherorte um.
Nicht zugängliche Laufwerksdaten
Das Betriebssystem kann in der Regel auf erhebliche Teile jeder Festplatte nicht zugreifen. Die Verwaltungsfirmware der Festplatte ist vor Zugriffen und Überschreiben geschützt, und ein Teil der Festplatte wird von der Firmware als zukünftiger Ersatz für fehlerhafte Sektoren reserviert.
Auch fehlerhafte Sektoren stehen dem Betriebssystem im Allgemeinen nicht zur Verfügung. Datenwiederherstellungstools können die Firmware des Laufwerks verwenden, um zu versuchen, Daten aus fehlerhaften Sektoren zu lesen, doch dafür sind spezielle Geräte und Software erforderlich.
Sehen Sie sich unseren Leitfaden zu den besten Diensten zur Entfernung und Wiederherstellung von Ransomware, einem Markt, der sich mit Datenwiederherstellungstools überschneidet.
Einige Sektoren einer Festplatte können auch vor dem Betriebssystem verborgen oder verschiedenen Betriebssystemen zugewiesen werden. Beispielsweise kann ein Computer so eingerichtet sein, dass er entweder Linux oder Windows startet, wobei jedes Betriebssystem auf unterschiedliche Bereiche der Festplatte zugreifen kann, die mit unterschiedlichen Dateisystemtechnologien formatiert sind.
Seltener legen Menschen absichtlich versteckte Sektoren auf dem Laufwerk an, um Daten zu verbergen. Manchmal geschieht dies aus harmlosen Gründen, doch Strafverfolgungsbehörden stellen häufig fest, dass diese Technik verwendet wird, um Daten im Zusammenhang mit illegalen Aktivitäten zu verbergen.
Lesen Sie auch: Die besten Tools und Softwarelösungen für digitale Forensik
Neuformatierung eines Laufwerks
Wenn ein Computer einem neuen Benutzer zugewiesen oder eine Festplatte ausgebaut wird, um sie in einem anderen Gerät zu verwenden, sollen möglicherweise alle bisherigen Daten für den neuen Benutzer unzugänglich sein. In diesem Fall formatieren wir die Festplatte häufig über das Betriebssystem neu.
Durch die Neuformatierung der Festplatte werden alle Dateiverzeichnisse gelöscht und alle für die Dateispeicherung verfügbaren Sektoren für das Betriebssystem sichtbar gemacht. Diese Form der Datenlöschung entfernt jedoch möglicherweise nicht alle Daten vom Laufwerk.
Versteckte Sektoren werden vom Betriebssystem nicht erkannt und können der Neuformatierung entgehen. Auch fehlerhafte Sektoren sind für eine Neuformatierung nicht zugänglich.
Methoden zum Überschreiben von Daten
Wenn ein Unternehmen oder eine Einzelperson Laptops, Telefone oder digitale Videorekorder aufrüstet, können ältere Geräte für andere Personen weiterhin nützlich sein. Die Geräte werden möglicherweise verkauft oder gespendet, doch die früheren Besitzer möchten nicht, dass ihre Daten für neue Benutzer zugänglich sind.
Die Neuformatierung von Festplatten kann ausreichen, doch für ein höheres Maß an Sicherheit stehen verschiedene Standards zur Laufwerkslöschung zur Verfügung. Bei jeder Technik werden neue Daten über alle verfügbaren Sektoren der Festplatte geschrieben.
Von diesen Standards bietet ATA Secure Erase den effizientesten Standard zur Datenlöschung, da die Daten auf der Festplatte in einem einzigen Durchgang überschrieben werden. Diese Löschmethode gilt im Allgemeinen für die meisten Zwecke als ausreichend, und die Wahrscheinlichkeit einer erfolgreichen Datenwiederherstellung nach einem Secure-Erase-Vorgang liegt nahezu bei null.
Bedenken Sie, dass das Überschreiben der Daten auf einer 1-TB-Festplatte in einem einzigen Durchgang vier bis sechs Stunden dauern kann – bei einem alten oder bereits ausfallenden Laufwerk sogar noch länger. Die meisten Menschen profitieren nicht von der zusätzlichen Sicherheit durch drei bis sieben Überschreibdurchgänge und sind mit Secure Erase zufrieden.
Wann die Löschung fehlschlagen kann
Selbst der robusteste Algorithmus zum Überschreiben von Daten kann daran scheitern, sämtliche Daten auf einer Festplatte zu löschen.
Die meisten softwarebasierten Verfahren zur Festplattenlöschung greifen über ein Betriebssystem auf das Laufwerk zu. Diese Anwendungen können Daten in fehlerhaften oder versteckten Sektoren weder erkennen noch darauf zugreifen, sie löschen oder überschreiben.
Für den direkten Zugriff auf Festplatten kann Hardware erworben werden, doch manche Geräte führen lediglich eine abgespeckte Version von Linux oder Windows aus und unterliegen bei der Löschung denselben Einschränkungen wie ein Computer. Käufer, die fehlerhafte Sektoren überschreiben müssen, sollten überprüfen, ob das verwendete Tool oder die verwendete Software auf die Daten auf Firmwareebene der Festplatte zugreifen kann.
Manche Festplatten sind aufgrund von Festplattenpasswörtern auf Firmwareebene nicht zugänglich. In diesen Fällen muss das Passwort entfernt werden, bevor auf Daten zugegriffen, diese gelöscht oder überschrieben werden können.
In anderen Fällen kann die steuernde Firmware beschädigt sein oder die Festplatte kann aufgrund eines Fehlers in den Festplattensektoren, die die Firmware enthalten, ausfallen. In diesem Fall steht die Verwaltungsfirmware nicht zur Verfügung, um das Überschreiben des Laufwerks zu ermöglichen.
Einige Experten für Datenwiederherstellung können die Firmware wiederherstellen oder reparieren und dadurch Daten von ausgefallenen Laufwerken lesen. Auch wenn das Laufwerk ausgefallen ist, können die Magnetplatten oder Speicherchips Daten enthalten, die von äußerst entschlossenen Personen gelesen werden könnten, die bereit sind, viel Zeit oder Geld zu investieren.
Vollständige Zerstörung
Wenn die Daten mit absoluter Sicherheit zerstört werden müssen, muss das Speichermedium zerstört werden. Bei Magnetfestplatten zerstören Entmagnetisierungsgeräte die Nutzbarkeit des Laufwerks für alle Sektoren – einschließlich der Firmwaresektoren.
Schredder können sowohl für Magnet- als auch für Flash-Festplatten verwendet werden und die Laufwerke in so kleine Stücke zerkleinern, dass eine praktische Datenwiederherstellung nicht mehr möglich ist. Bohrmaschinen können Laufwerke ebenfalls im Allgemeinen unlesbar machen, doch Experten für Datenwiederherstellung könnten Daten aus nicht zerstörten Bereichen einer Magnetplatte oder eines Speicherchips extrahieren.
Die meisten Menschen werden die Sicherheit einer vollständigen Zerstörung wahrscheinlich nie benötigen. Es wird jedoch immer Anwendungsfälle geben, etwa im Bereich der nationalen Sicherheit, in denen Festplatten zunächst überschrieben und anschließend auch physisch zerstört werden müssen, um die Unzugänglichkeit der Daten zu garantieren.
Einordnung
Zwischen der Möglichkeit einer Datenextraktion und ihrer Wahrscheinlichkeit bei einer gelöschten Festplatte besteht ein großer Unterschied. Für die meisten Nutzer reichen eine sichere Löschung oder die Neuformatierung der Festplatte mehr als aus, um eine realistische Chance auf Datenwiederherstellung auszuschließen.
Spezialisierte Löschverfahren mit mehreren Durchgängen erfordern den Kauf von Hardware- oder Softwarelösungen, und ihre Durchführung bindet Zeit und Ressourcen der IT-Abteilung. Die gewählte Löschstufe sollte für den jeweiligen Anwendungsfall, den Wert der Daten und die verfügbaren Ressourcen angemessen sein.
Lesen Sie als Nächstes: