(Forensik) Sicher gelöschte Bilder auf SD Karten wiederherstellbar?

[kieleich]

OK Du meintest was anderes....
Aber das ist mir auch neu. Bist Du da sicher?? Ich dachte bei jedwedem Editieren + Speichern von Dateien wird immer der selbe Bereich überschrieben. .... ?

Nö, normale Programme arbeiten alle mit Dateinamen. Speichern drücken ist Truncate auf 0 Bytes und rausschreiben einer neuen Datei. Es steht dem Dateisystem frei zu entscheiden wo diese Datei dann physikalisch abgelegt ist. Die alte Kopie existiert weiter, das Dateisystem weiß nix mehr davon, dementsprechend können auch andere Superprofilöschprogramme das nicht löschen.

Auf SSDs läuft das in den TRIM des gesamten freien Speichers rein.

Gegen weitere Kopien (einmal im Browser öffnen und es ist im Browsercache usw.) ist das aber auch kein Mittel.

Diese Löschprogramme arbeiten alle unter Annahmen von optimalen Randbedingungen. Wenn du was formaljuristisch hiebstichfest forensisch wasserdicht gelöscht haben willst, ist das nix.

Anderes Beispiel: wenn du ein Dateisystem de-fragmentierst, dann wird auch alles nach überallhin kopiert. Wo diese Kopien sind und ob da was von übrig bleibt, weißt du nicht. Das kannst du auf Dateibasis nicht gelöscht bekommen.

 

[tollertyp]

Meine Aussage bezieht sich nicht auf geloeschte Dateien. Ich meine wirklich das Ueberschreiben des Inhaltes der Dateien so wie es das o.g. Proggie anbietet. @tollertyp

Aber wer sagt denn, dass eine SSD auch genau das macht? Was hindert den SSD-Controller via Wear Leveling den neuen Inhalt in einen neuen Block zu schreiben? Muss er das nicht eh machen?

Festplatten können AFAIK nur sektorweise schreiben (also als kleinste Einheit). Das, was das Betriebssystem anbietet, ist eben eine Abstraktion dessen. Ich kann natürlich byteweise schreiben. Aber das ist etwas, was mir das Betriebssystem oder im Notfall die Standard-Bibliothek ermöglicht.

Ob eine SSD einen Sektor, der kleiner sein kann als die Blockgröße, oder einen Block schreibt, das Vorgehen ist doch egal. In der Praxis wird sie einen neuen, leeren Block nehmen und dort rein schreiben. Weil vor dem Schreiben muss der Block geleert werden, und am schnellsten geht es halt, wenn man einen bereits leeren nimmt.