Verständnisfrage: USB Stick NICHT schnellformatieren = Secure Wipe?

GrumpyDude · 22. Februar 2017

Hallo,

eine Frage nur zum Verständnis:

Wenn man einen USB Stick NICHT schnell formatiert, kann man davon ausgehen dass man die Dateien NICHT wiederherstellen kann? Ist eine NICHT Schnell formatierung in Windows gleichzusetzen mit einer 0-Setzung aller Datenzellen?

Gracchus · 22. Februar 2017

Soweit ich weiß: nein

"Normal" Formatierung prüft die Speicherzellen, überschreibt aber nichts.

Madnex · 22. Februar 2017

Ja. Ab Windows Vista werden bei abgewählter Schnellformatierung die Sektoren innerhalb der ausgewählten Partition genullt.

UweW. · 22. Februar 2017

Gracchus schrieb:
"Normal" Formatierung prüft die Speicherzellen, überschreibt aber nichts.

Hä? Eine Formatierung überschreibt alle Zellen mit Null. Punkt.

Madnex · 22. Februar 2017

Das war in früheren Windows Versionen tatsächlich so. Bis einschließlich Windows XP wurden bei der normalen (langsame) Formatierung die Sektoren nur lesend auf Fehler überprüft, aber nichts überschrieben.

owned_you · 22. Februar 2017

Hä? Eine Formatierung überschreibt alle Zellen mit Null. Punkt.

ein einfaches überschreiben mit 0 ist aber kein secure wipe! und das wurde ja gefragt,

Gracchus · 22. Februar 2017

1. Danke für das Update, meine Infos zu dem Thema war dann wohl veraltet.

2. Die Frage ist, was ist sicher? Wiederherstellung mit welcher Sicherheit unmöglich? IT Forensiker können einiges, aber für den Hausgebrauch reicht 1x überschreiben mit Nullen. Hier der entsprechende Artikel auf Heise.de

Dann kommt es sicherlich auch auf den Stick an; bei einem SLC NAND Speicher lässt sich bestimmt leichter der letzte Ladungszustand ermitteln als bei einem TLC Speicher; normalerweise werden für USB Speichersticks mindestens TLC Chips verwendet, natürlich aus Kostengründen...

Bartmensch · 22. Februar 2017

Tja, ich bin IT Forensiker und ohne euch verunsichern zu wollen...ABER es gibt meines Wissens nach KEINE Möglichkeit, einen USB Memorystick sicher zu löschen.
Bei einer SSD geht es mittels Sata Secure Erase. Das funktioniert bei USB jedoch nicht.
Eine zufriedenstellende Lösung wäre das Zerstören des Sticks mit einem Hammer.
Selbst wenn man den Controller zerstört, gibt es immer noch die Möglichkeit, die Flash Zellen einzeln auszulöten und auszulesen.
Sicherlich ein zu großer Aufwand für den Privatanwender, aber es kommt immer auf die Motivation an...
Hier noch ein Link dazu
Flash Löschen
Edit: Bei normalen Festplatten reicht unter Windows ab Vista tatsächlich das normale ( nicht schnelle) Formatieren.
Man kann bei aktuellen HDDs dann mit viel Glück vielleicht noch den Dateinamen lesen, aber nichts vom Inhalt. Die Datenspuren sind inzwischen viel zu dicht.

GrumpyDude · 22. Februar 2017

Bartmensch schrieb:
Tja, ich bin IT Forensiker und ohne euch verunsichern zu wollen...ABER es gibt meines Wissens nach KEINE Möglichkeit, einen USB Memorystick sicher zu löschen.

Interessant. Wie kann ich mir das vorstellen? Wenn ich den Stick mehrmals mit 1en und 0en vollschreibe (ich weiß, dass die Nicht Schnellformatierung nur in "eine" Richtung einmal löscht), wie kann man auf den ursprünglichen Zustand zurückkommen?

Bartmensch · 22. Februar 2017

Lies Dir mal den Beitrag in meinem Lunk durch, da wird das ganz gut erklärt.

Madnex · 22. Februar 2017

Theoretisch sollte es reichen, wenn man den Stick zwei Mal voll schreiben lässt (z.B. durch die langsame Formatierung). Dann sollte auch die Spare Area beackert worden sein.

Bartmensch · 22. Februar 2017

Also ich zitiere mal aus meinem Link: "Weil keine klare Beziehung besteht zwischen externen Sektoradressen und tatsächlichen Speicherblöcken, kann man auch nicht jeden einzelnen überschreiben. Wahrscheinlich bleiben aber höchstens kleine Datenschnipsel übrig, die obendrein nicht über die externe Schnittstelle auslesbar sind. Um sie zu rekonstruieren, müsste man die Flash-Chips auslöten, mit einer passenden elektronischen Schaltung auslesen und braucht Wissen über den FTL...."

Holt · 22. Februar 2017

Gracchus schrieb:
Dann kommt es sicherlich auch auf den Stick an; bei einem SLC NAND Speicher lässt sich bestimmt leichter der letzte Ladungszustand ermitteln als bei einem TLC Speicher

Wie soll denn jemand an diese Ladungszustände kommen? Die Zellen verschleißen sowieso und damit verschieben sich die Zustände dann auch wieder.

Aber selbst wenn Forensiker noch an Daten kommen könnten, normal übers Interface lässt sich nichts auslesen was wirklich überschrieben wurde, auch nicht was da ggf. noch irgendwo in einer Spare Area steht, weil eben nicht mit einer externen Adresse (LBA) assoziiert ist, also auch nicht adressiert werden kann. Wer wirklich so sensible Daten gespeichert hat das jemand den Aufwand treiben könnten die Chips abzulöten um an diese zu kommen, der sollte die Datenträger danach physikalisch zerstören und nicht in der Bucht verkaufen!

Madnex · 22. Februar 2017

@Bartmensch
Das "Zitieren" war speziell für mich jetzt nicht nötig. Ich habe den Artikel durchaus gelesen und er war mir auch bekannt. Dennoch bleibe ich dabei, dass das zweimalige Überschreiben alle Zellen erwischen sollte. Auch die der Spare Area, die beim ersten Überschreiben noch nicht in den Nutzbereich gemappt waren. Meines Wissens werden auch bei USB-Sticks alle Zellen zum Speichern von Nutzdaten verwendet und entsprechend dynamisch gemappt, auch die, die beim ersten Überschreiben noch der Spare Area zugeordnet waren. Und wie Holt schon geschrieben hat, mit Hausmitteln lässt sich da sicherlich nichts mehr wiederherstellen.

GrumpyDude · 22. Februar 2017

Bartmensch schrieb:
Also ich zitiere mal aus meinem Link: "Weil keine klare Beziehung besteht zwischen externen Sektoradressen und tatsächlichen Speicherblöcken, kann man auch nicht jeden einzelnen überschreiben. Wahrscheinlich bleiben aber höchstens kleine Datenschnipsel übrig, die obendrein nicht über die externe Schnittstelle auslesbar sind. Um sie zu rekonstruieren, müsste man die Flash-Chips auslöten, mit einer passenden elektronischen Schaltung auslesen und braucht Wissen über den FTL...."

Interessant. Wie groß ist denn dieser "Cache Bereich" in der Regel?

Ergänzung (22. Februar 2017)

Holt schrieb:
Wie soll denn jemand an diese Ladungszustände kommen? Die Zellen verschleißen sowieso und damit verschieben sich die Zustände dann auch wieder.

Aber selbst wenn Forensiker noch an Daten kommen könnten, normal übers Interface lässt sich nichts auslesen was wirklich überschrieben wurde, auch nicht was da ggf. noch irgendwo in einer Spare Area steht, weil eben nicht mit einer externen Adresse (LBA) assoziiert ist, also auch nicht adressiert werden kann. Wer wirklich so sensible Daten gespeichert hat das jemand den Aufwand treiben könnten die Chips abzulöten um an diese zu kommen, der sollte die Datenträger danach physikalisch zerstören und nicht in der Bucht verkaufen!

Danke.
Ich fasse für mich zusammen, dass mit Hausmitteln eine nicht schnelle Formatierung reicht um einen USB Stick "relativ" sicher zu löschen.

Holt · 23. Februar 2017

Ja, sofern man Windows ab Vista nutzt und die Partition auch wirklich die ganze Kapazität des Stick umfasst. Wenn man einen 32GB Stick hat und da ein Image von z.B. nur 700MB drauf packt, dann kann es dabei passieren, dass der Stick nur noch eine 700MB Partition hat und dies zu Formatieren löscht eben nur die 700MB, nicht aber den ganzen Rest, die Daten dort könnten dann immer noch mit Recoverytools gerettet werden! Mach im Zweifel ein Schnellformat und testen ihn einmal komplett mit h2testw, danach noch ein normales Format. Sollte die Partition zu klein sein, nimm DISKPART und CLEAN ALL. Starte eine Eingabeaufforderung als Administrator und gib folgende Befehle ein:

diskpart
list disk
select disk x (x steht für die Nummer des Laufwerks aus list disk, die richtige Stick sollte an der Kapazität zu erkennen sein, sonst andere Platten / Sticks mit ähnlicher Kapazität besser vorher abklemmen / abziehen um Datenverlust zu vermeiden)
detail disk (um sicher zu gehen den richtigen Stick ausgewählt zu haben)
clean all (clean löscht alle Partitionierungsinformationen, clean all überschreibt alles mit 00 und dauert entsprechend länger, man kann danach auch nichts mehr wiederherstellen)
exit

Suche

Verständnisfrage: USB Stick NICHT schnellformatieren = Secure Wipe?

GrumpyDude

Lt. Commander

Gracchus

Lieutenant

Madnex

Vice Admiral

UweW.

Lt. Commander

Madnex

Vice Admiral

owned_you

Banned

Gracchus

Lieutenant

Bartmensch

Commodore

GrumpyDude

Lt. Commander

Bartmensch

Commodore

Madnex

Vice Admiral

Bartmensch

Commodore

Holt

Banned

Madnex

Vice Admiral

GrumpyDude

Lt. Commander

Holt

Banned

Ähnliche Themen

Passend zum Thema

232 Layer QLC Micron protzt und verschweigt dabei die Konkurrenz

Berichte aus Korea Samsung soll bei 3D-NAND in Kürze auf 290 Layer erhöhen

Ultrastar Transporter 368 TB NVMe-Speicher werden im Koffer transportiert