Frage zum Löschen und Wiederherstellen von Dateien auf einer HD

[tigerente]

Hallo,
mich würde einmal folgendes interessieren:

Wenn ich auf einer HD erst einmal alle Dateien lösche und danach die HD vollpacke,
z.B. mit Video-Sequenzen bis nichts mehr geht. Dann habei habe ich doch die entsprechenden Bereiche überschrieben, an denen vorher z.B: eine Datei gestanden hat. Es kann nartürlich sein, das irgendein Dateizurückhol-Proggi die Sektoren auslesen kann, wo einmal ein Brief oder Datei abgelegt war, aber er würde doch dann nur einen Teil der Video-Sequenzen erhalten.

Die Bit's in einem Sektor, können doch nur den Zustand 1 oder 0 annehmen. Oder gibt es eine Möglichkeit, das man den Zustand vor dem umkehren eines Bit's noch auslesen kann. So als wenn man mehrere Schichten hätte. Ist doch glaube ich so bei CD's oder DVD's so?

Bin mal gespannt?

 

[Mueli]

Die Köpfe in den Festplatten beschreiben die Oberfläche in Spuren, wobei auch in den Randbereichen Informationen geschrieben werden und in diesen kann man selbst nach 20 Überschreibvorgängen immer noch 'alte' Daten wiederherstellen, dazu bedarf es allerdings der entsprechenden Technik, Wissen, Software wie auch die dafür notwendige Hardware.

Köpfe werden via Servo-Mechanismen (Offset-Tabellen etc. lass ich jetzt mal weg), welche auch die Einflüsse durch Wärme u.ä. ausregelt, in Spuren 'gehalten' und über diese Regeltechnik kann man eben auch die Lage der Heads im Sinne der Forensik beeinflussen und damit Daten 'sichtbar' machen, die außerhalb der 'normalen' Spuren vorhanden sind.

 

[Queen]

Nicht zu vergessen daß die Bedeutung dieser Möglichkeit mit den hohen Datendichten heutiger Festplatten immer weiter abnimmt. Der dazu nötige Aufwand steigt immens an, denn die nötigen Toleranzbereiche werden mit hohen Datendichten immer geringer.




Bye,

 

[Mueli]

Die notwendige Energie wird sicher nur reingesteckt, wenn sich jmd. davon einen entsprechenden Nutzen verspricht. Aber ich weis von einem Beispiel, dass an einer deutschen UNI bereits PALs abgeschliffen wurden, um mit einem Rasterelektronenmikroskop die 'fuseablel links' ermittelt wurden um die Programmierung zu ermitteln. Dies war schon ein wahnsinniger Aufwand und der Nutzen war nicht besonders hoch, da es sich um einen Dongel für eine sehr exotische Anwendung handelte. Erzählt wurde mir dies an der Hochschule, die mit dem Programmierer (ein ehemaliger Student dieser Hochschule) zusammengearbeitet um die Entwichlung voranzutreiben. Also manchmal füht allein die Möglichkeit, Gelegenheit und das Know How zum zweifelhaften Erfolg. (Die Software wurde meines Wissens auch nicht weiterentwickelt, ob das allerdings allein dem genannten Umstand zuzurechnen ist, weis ich nicht).

 

[tigerente]

Grob gesagt ist es also so, dass der Schreib/Lesekopf Daten innerhalb seiner Spur und Toleranz z.B. ganz rechts seine Daten schreibt. Wenn jetzt der Löschvorgang käme und der Schreib/Lesekopf ganz links geführt werden würde (auch wieder innerhalb seiner Spur und Toleranz), dann besteht mit mehr oder weniger Aufwand die Möglichkeit die Daten wieder zu auszulesen (rekonstruieren), in dem man den Schreib/Lesekopf dann wieder ganz rechts führt.

So die Daten wieder auszulesen, kann man doch bestimmt nicht mit normaler Software wie Inspector File Recovery. Dazu müßte man doch bestimmt auf die Management-Software der HD zugreifen können. Und das wird man wie von euch schon gesagt nur mit erheblichen Aufwand im Labor machen können.

Das natürlich die immer höher werdenden Dichten auf den Scheiben die Möglichkeit der (ich sag mal) Magnetisierung von Nebenbereichen abnimmt ist auch klar.

 

[Queen]

Ja genau, so ungefähr kannst du dir das vorstellen.
Für den privaten User besteht diese Möglichkeit nicht, da sind Profis mit entsprechendem Equipment nötig und selbst die dürften sich schon sehr schwer tun.

Ich habe leider keine Ahnung mehr wo darüber mal berichtet wurde, aber irgendein Print-Magazin hatte mal die Probe aufs Exempel gemacht und eine vollständig gewipte Festplatte zu einem Datenrettungslabor geschickt. Ergebnis: Es konnten keine Daten wiederhergestellt werden.



Bye,

 

[Madnex]

Das war die c't. Keine der "getesteten" Labore konnten Daten, die nur ein Mal mit Nullen überschrieben wurden, wiederherstellen. Zumindest nicht ohne aufwändigere Datenrettungsverfahren anzuwenden, die natürlich wesentlich teurer gekommen wären.

 

[Queen]

Danke Madnex, kann gut sein daß das die c´t war, wie gesagt, genau wußte ichs nicht mehr.
Mal was anderes: Sind jemanden Fälle bekannt wo das gemacht wurde?




Bye,

 

[Mueli]

@Queen
Wie meinst Du Deine Frage, ob man von einem Fall berichten kann, wo die Disk eines Privat-Users in der diskutierten Weise ausgelesen wurde?

Ich kann nur aus beruflicher Erfahrung daüber berichten, da es hin und wieder vorkam, dass Daten in jedem Fall runtergelesen werden mußen (ich hatte mehrere Kunden die derartige Informationen anfragten - ein ehemaliger Kollege arbeitete darüberhinaus bei einem derartigen Unternehmen). In den Fällen, wo ich Kunden Kontakte vermittelte habe ich nicht weiter verfolgt, kann daher nicht sagen wie es ausgegangen ist (Rettungsktionen dieser Art können jedenfalls locker fünfstellige Beträge kosten).

Die c't hatte vor längerer Zeit aber auch über Forensik-Tools und deren Möglickeiten berichtet und das wahr schon sehr eindrucksvoll. In Amerika gibt es einige spektakuläre Kriminalfälle, die fast ausschließlich durch derartige Datenrückgewinnungsaktionen (inkl. gelöschter Festplatten) gelöst werden konnten.

Ich kann mich auch noch gut daran erinnern wie im Service via 'cat eye' Messungen (mit Diagnosemedien) die Justage der Heads nötig war und u.U. auch eine De-Justage weil nach einer Reparatur der Disk die Daten nicht mehr gelesen werden konnten. Das ist alles noch garnicht so lange her und die Technik ist im Prizip nur filigraner geworden.

Wer noch ein bisschen mehr über deratige Dinge (bes. was technisch machbar ist) kennenlernen möchte, kann ja auch mal in Richtung Tempest googlen.

 

[Queen]

Naja, deine Antwort ist in etwa das was mich interessiert hat zu erfahren.
Fein.





Bye,