lassen sich gelöschte daten wiederherstellen ?

[Ranayna]

In dem Kontext wurde vor einigen Tagen hier ein Thread eroeffnet, wo es drum ging eine normal formatierte Platte zu retten.
https://www.computerbase.de/forum/threads/wie-komme-ich-an-alle-cpr-dateien-wieder-ran.2028355/

Der OP hat dann tatsaechlich ein Unternehmen gefunden was die Daten angeblich wiederherstellen kann, aber ich bin da extrem skeptisch...

Das geschreddert wird, hat auch damit zu tun, das ueberschreiben erstmal deutlich laenger dauert, die Platten eh nichts mehr wert sind, und es theoretisch immer passieren kann (Stichwort: reallokierte Sektoren) das Teile nicht ueberschrieben werden.

 

[snaxilian]

wo es drum ging eine normal formatierte Platte zu retten.

Formatieren und vollständig überschreiben sind zwei verschiedene Dinge.
Bei ersterem wird oft genug einfach nur die Partitionstabelle (Anfang und Ende der Partitionen), Infos zum Dateisystem, etc. gelöscht aber die Daten an sich nicht. Ja, so etwas kann man oft retten.

Ich glaube [...]

Glaube ist etwas für die Kirche und hat in der faktenbasierten Wissenschaft sehr wenig zu suchen...

 

[Purche]

In dem Kontext wurde vor einigen Tagen hier ein Thread eroeffnet, wo es drum ging eine normal formatierte Platte zu retten.
https://www.computerbase.de/forum/threads/wie-komme-ich-an-alle-cpr-dateien-wieder-ran.2028355/

In dem Threat ist nicht ein einziges Mal von Formatieren die Rede. Er hat Dateien verschoben, also kopiert und gelöscht. Da geht es dann eben genau darum, ob man in "freien" = derzeit nicht verwendeten Speicherbereichen (die seitdem NICHT überschrieben wurden) noch alte Inhalte findet und die auch korrekt in der richtigen Reihenfolge miteinander verknüpfen kann, um frühere Dateien zu rekonstruieren.

Was komplett überschrieben wurde, egal ob durch eine Datei oder durchs Formatieren ist futsch. Basta...

 

[Ranayna]

@snaxilian Seit Windows Vista, wenn du den Haken bei Schnellformatierung rausmachst, wird dabei die gesamte Platte ueberschrieben.
Bis einschliesslich Windows XP war das noch anders.
Es gab damals diverse Diskussionen warum unter Vista eine Formatierung so viel laenger gebraucht hat als unter XP.
Aber richtig, eine Schnellformatierung kann einfachst wiederhergestellt werden.


@Purche: Der TE hat, wenn ich es richtig verstanden habe mehrfach versucht Daten zu verschieben in beide Richtungen. Das vor mehr als einem halben Jahr, auf Platten die danach teils noch in Verwendung waren, also wo garantiert zumindest Teile seiner Daten ueberschrieben wuerden.

 

[PHuV]

@areiland @Purche
Ohne hier in aluhuttragende Ebenen abzuwandern:

Ohne Dir persönlich zu nahe treten wollen, es sieht aber stark nach Aluhut aus, wenn man die aktuelle Faktenlage (siehe unten) betrachtet.

Ich glaube nicht, dass man uns alles verrät, was in der Forensik (nicht nur im Datenbereich) so möglich ist und getrieben wird.

Wie stark und gut bist Du in den technischen Dingen bewandert (das auch nicht böse oder hinterlistig gedacht)? Wir haben folgende Fakten, welche die Kollegen hier bereits erwähnt hatten.

Nicht mal mehr Theorie: https://www.heise.de/security/meldung/Sicheres-Loeschen-Einmal-ueberschreiben-genuegt-198816.html

Da wird er aller Voraussicht nach keine Augen machen. Der Heise Verlag (c't) hat mehrere nur einmal überschriebene Platten an diverse Wiederherstellungsunternehmen geschickt und es konnte genau nichts wiederhergestellt werden...
Heise hat es damals in dem langen Artikel überprüft.

Verweis auf c't 05/2003, Seite 192 (tut mir leid, aber es geht um das korrekte Zitieren, da ich seit Jahrzehnten Abonnent bin und Zugriff auf alle Artikel habe)

... im Überfluss
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt übrigens, Daten dreimal mit komplementären Bitmustern zu überschreiben, um eine `für mittleren Schutzbedarf ausreichende physikalische Löschung' zu erreichen [4]. Um zu überprüfen, ob das wirklich nötig ist, haben wir an die Datenrettungsfirmen Ibas, Ontrack und Vogon Festplatten geschickt, auf denen sich vier Textdateien auf einer intakten FAT32-Partition befanden. Diese Dateien löschten wir mit verschiedenen Methoden. Die erste Datei überschrieben wir einmalig mit Nullen, die zweite einmalig mit einem zufälligen Bitmuster, die dritte dreimal nacheinander mit Nullen und die vierte nach BSI-Empfehlung dreimal mit komplementären Bitmustern. Die Datenretter sollten nun zeigen, was denn noch zu retten ist. Die Antwort fällt kurz aus: nichts.
Selbst professionelle Datenrettungsunternehmen sind also hilflos, wenn Festplatten erst mal überschrieben

Update 11.2022:
Heise - Sicheres Löschen: Einmal überschreiben genügt

Der Forensikexperte Craig Wright wollte mit dieser Legende endlich aufräumen. In einer wissenschaftlichen Untersuchung hat er zusammen mit Kollegen Festplatten verschiedener Hersteller und unterschiedlichen Alters unter die Lupe genommen, Daten unter kontrollierten Bedingungen überschrieben und die magnetischen Oberflächen anschließend mit einem Magnetkraftmikroskop untersucht. Das Paper wurde auf der ICISS 2008 vorgestellt und bei Springer in den Lecture Notes in Computer Science veröffentlicht (Craig Wright, Dave Kleiman, Shyaam Sundhar R.S.: Overwriting Hard Drive Data: The Great Wiping Controversy).

Das Ergebnis: Ob uralte 1-GByte-Platte oder (zum Zeitpunkt der Studie) aktuelles Laufwerk, nach einmaligem Überschreiben der Daten ist die Wahrscheinlichkeit, noch etwas rekonstruieren zu können, praktisch null. Na ja, nicht ganz: Wenn es um ein einziges Bit geht, von dem man ganz genau weiß, wo es steht, dann kann man es (in einem der genannten Beispiele) mit 56 Prozent Wahrscheinlichkeit korrekt rekonstruieren. Für ein Byte müsste man dann aber schon 8 Mal richtig liegen, was nur noch mit 0,97 Prozent Wahrscheinlichkeit klappt. Tja, und bei größeren Datenmengen jenseits von einem Byte ..

Thema Datendichte

In rund zwölfeinhalb Jahren seit diesem Artikel dürfte sich die Wahrscheinlichkeit, dass da noch was zu restaurieren sein könnte, nochmal deutlich reduziert haben. Denn die Datendichten haben seitdem weiter deutlich zugenommen.

Hierzu folgende Artikel:
Gutmann - Secure Deletion of Data from Magnetic and Solid-State Memory von 1996!

In the 1980's some work was done on the recovery of erased data from magnetic media [1] [2] [3], but to date the main source of information is government standards covering the destruction of data.

Und dazu die kritische Entgegnung:
Can Intelligence Agencies Read Overwritten Data? A response to Gutmann
https://www.donationcoder.com/forum/index.php?topic=16657.10;wap2

Dazu gibts auch einen Wiki-Eintrag, der leider nur auf englisch in die Details geht:
https://en.wikipedia.org/wiki/Gutmann_method
Und hier jemand, der das
Shyaam Sundhar R.S.: Overwriting Hard Drive Data: The Great Wiping Controversy). von 2008!
Hier mal die wichtigsten Zitate

One of the chief controversies is that if a head positioning system is not exact enough, new data written to a drive may not be written back to the precise location of the original data. This track misalignment is argued to make possible the process of identifying traces of data from earlier magnetic patterns alongside the current track. This was the case with high capacity floppy diskette drives, which have a rudimen-tary position mechanism. This

A selection of 17 models of hard drive where tested (from an older Quantum 1 GB drive to current drives dated to 2006). The data patterns where written to each drive in all possible combinations. 1.The data write was a 1 kb file (1024 bits). 2.Both drive skew and the bit was read. 3.The process was repeated 5 times for an analysis of 76,800 data points. Table 1. Table of Probability Distributions for the older model drives. Note that a “used” drive has only a marginally better chance of any recovery than tossing a coin. The Pristine drive is the optimal case based on an early Seagate 1Gb drive.

t. The other drive was a newer drive7 that has been used (I used this for my daily operations for 6 months) prior to the wiping procedure. A total of 17 variety of drives dated from 1994 to 2006 of both the SCSI and IDE category where tested for this process. A total of 56 drives where tested. On average only one (1) drive in four8 (4) was found to function when the platter had been returned after an initial reading with the MFM.

Conclusion: The purpose of this paper was a categorical settlement to the controversy surrounding the misconceptions involving the belief that data can be recovered following a wipe procedure. This study has demonstrated that correctly wiped data cannot reasonably be retrieved even if it is of a small size or found only over small parts of the hard drive. Not even with the use of a MFM or other known methods. The belief that a tool can be developed to retrieve gigabytes or terabytes of information from a wiped drive is in error. Although there is a good chance of recovery for any individual bit from a drive, the chances of recovery of any amount of data from a drive using an electron microscope are negligible. Even speculating on the possible recovery of an old drive, there is no likelihood that any data would be recoverable from the drive. The forensic recovery of data using electron microscopy is infeasible. This was true both on old drives and has become more difficult over time. Further, there is a need for the data to have been written and then wiped on a raw unused drive for there to be any hope of any level of recovery even at the bit level, which does not reflect real situations. It is unlikely that a recovered drive will have not been used for a period of time and the interaction of defragmentation, file copies and general use that overwrites data areas negates any chance of data recovery. The fallacy that data can be forensically recovered using an electron microscope or related means needs to be put to rest.

Hier die Zunahme der Datendichte
https://www.kuert-datenrettung.de/p...-datendichte-von-festplatten-wird-zum-problem
https://www.computerhistory.org/storageengine/hdd-areal-density-reaches-1-terabit-sq-in/ (2014)
https://www.ibm.com/ibm/history/exhibits/storage/storage_magnetic.html
https://www.pcwelt.de/ratgeber/Mech...ine_Aera_geht_zu_Ende-Rueckblick-8435642.html
https://ratgeber.pcgameshardware.de/festplatten-test-rangliste-beste-hdd

Die Bits rücken also so viel näher zusammen und gegenüber der bis 2005 genutzten Längsspuraufzeichnung (Longitudinal Recording), wo die Bits noch horizontal auf der Magnetscheibe ausgerichtet wurden, ermöglichte das eine extreme Steigerungen der Datendichte. Betrug die Speicherkapazität von Festplatten mit Longitudinal Recording bestenfalls ein paar Hundert Gigabyte, waren mit der Senkrechtaufzeichnung erstmalig Speichervolumenrekorde von bis 6 Terabyte möglich.

Das heißt, wenn schon 2003 (siehe Heise mit FAT32) und 2006 (wo die Untersuchung stattfand) mit den dort aktuellen Platten keine Wiederherstellung möglich war, wie soll das mit einer aktuellen HDD von 2021 bei einer wesentlich höheren Dichte möglich sein?

Ich behaupte mal, wenn das wirklich möglich wäre, hätte das jemand forschend, privat oder eine Fachzeitschrift wie Heise schon längst publiziert. Da es aber bisher nirgendwo eine solche Veröffentlichung gibt, nehme ich mal stark an, daß es nicht möglich ist. Also @DJMadMax , wenn Du eine Quelle bzw. Beweis dazu hast, gerne her damit, ich lasse mich gerne überzeugen.

Ergänzung (29. Juni 2021)

In dem Threat ist nicht ein einziges Mal von Formatieren die Rede.

Da hast Du nicht richtig gelesen.

wenn ich meine daten auf der seagate mobile hdd 1tb lösche, die platte formatiere und mit neuen daten bespiele

 

[DJMadMax]

@PHuV
Keine Bange, ich nehme dir das nicht übel und mir ist auch bewusst, dass mit zunehmender Datendichte eine Wiederherstellung einzelner magnetischer Zustände immer schwerer wird. Ich will auch gar nicht darüber diskutieren, ob es nun möglich ist oder nicht und wenn ja, wie es möglich wäre und unter welchen Umständen.

Ich wollte eigentlich nur klarstellen, dass man, um auf Nummer Sicher zu gehen, einfach mit den einschlägigen Tools (hab ich ja zuvor schon geschrieben) die Platte entsprechend bearbeiten soll, dann kann man sie auch guten Gewissens in die Hände Dritter weitergeben.

Persönlich tue ich das dennoch nicht. Ich habe keine Festplatten oder SSDs, die einen Wert von über 100 Euro Neupreis überschreiten würden und für einen eben deutlich darunter angesetzten Verkaufspreis gebe ich (persönlich, kann jeder anders handhaben) keine selbstgenutzten Massenspeicher aus der Hand.

 

[Purche]

Da hast Du nicht richtig gelesen.

Den Ball spiele ich gerne zurück.
Ranayna schrieb:

In dem Kontext wurde vor einigen Tagen hier ein Thread eroeffnet, wo es drum ging eine normal formatierte Platte zu retten.
https://www.computerbase.de/forum/threads/wie-komme-ich-an-alle-cpr-dateien-wieder-ran.2028355/

Daraufhin schrieb ich mit Zitat darauf:

In dem Threat ist nicht ein einziges Mal von Formatieren die Rede.

Da bleibe ich auch bei. Das Zitat, mit dem Du gerade um die Ecke kommst, stammt gar nicht aus dem besagten Threat sondern aus diesem hier.

 

[PHuV]

@Purche , ups, sorry, ich habe das nicht auf Dein Zitat, sondern dann auf diesen Thread bezogen.

 

[hollipolli2904]

passend zum Thema habe ich heute die Formatierung über Windows 10 einer 16TB Platte angeworfen. Ich bin echt gespannt, wie viele Stunden oder Tage das dauert. Grund ist ein Verkauf danach.

 

[Inzersdorfer]

Könnte so 74 Stunden dauern.

Dieser Thread ist im Übrigen die ca. 137 Iteration dieses Themas, wir werden von Mal zu Mal effizienter...

 

[capitalguy]

die Formatierung über Windows 10 einer 16TB Platte angeworfen. Ich bin echt gespannt, wie viele Stunden oder Tage das dauert. Grund ist ein Verkauf danach.

& wie lange hat es gedauert? vermutlich reicht die formattierung aus, wenn du sie nicht an die nsa oder an den fsb verkaufst. da sind bestimmt noch viele cluster drauf aus denen man deine daten wiederherstellen kann.
man sollte die paltte besser überschreiben.

 

[hollipolli2904]

& wie lange hat es gedauert? vermutlich reicht die formattierung aus, wenn du sie nicht an die nsa oder an den fsb verkaufst. da sind bestimmt noch viele cluster drauf aus denen man deine daten wiederherstellen kann.

Es hat knapp 24h gedauert, hatte auch mit mehr gerechnet.

Vielleicht weil über USB 3.0 die Daten auch sehr zugig auf die neue 18TB kopiert wurden.

 

[Evil E-Lex]

Immer wieder die gleiche Leier. Und meine Antwort ist auch immer die gleiche: Überschriebene Daten können nicht wiederhergestellt werden. Vollkommen egal ob die ein, 18, 42 oder 16384 mal überschrieben wurden. Die letzte Artikelserie der c't zu dem Thema ist übrigens von 2016, also deutlich neuer, als die bereits verlinkten Artikel:

c't 13/2016 Seite 84 Wirklich alles gelöscht?
c't 13/2016 Seite 90 Wirklich alles weg!
c't 13/2016 Seite 96 Mikro-Entlöscher

Aus dem letzten Artikel möchte ich gern einen Teil des Fazit zitieren (die Hervorhebungen sind von mir):

Ja, es gibt eine, allerdings sehr kleine Wahrscheinlichkeit, ein paar gelöschte Bits auf Festplatten mit viel High-Tech-Einsatz wiederbeleben zu können. Das erfordert enorm viel Aufwand und wenn, funktionierte es bislang nur bei speziell präparierten oder nahezu unbenutzten Platten und dann auch nur für winzige Bereiche. Auch wenn gewisse Geheimdienste tausendmal bessere Möglichkeiten haben sollten, mehr als einige zig Kilobyte werden auch die nicht herunterkratzen können – und die muss man erstmal unter den Terabytes auf den Platten finden. Was richtig Vorzeigbares, etwa ein hübsches, gelöschtes JPEG-Bild haben die Wissenschaftler noch nie zustande gekriegt.

 

[PHuV]

Ja, der Artikel ist neuer, aber es fehlen leider die Hinweise auf das "einmal löschen reicht" mit Begründung und Referenz auf den Test von damals, daß es dem beauftragten Datenretter nicht gelungen ist, sie wieder herzustellen.

Ansonsten danke, ich hab endlich wieder nach erneutem Lesen genau die Stelle gefunden, daß bei ATA Erase bei SSDs nur der Schlüssel ausgetauscht wird.

 

[capitalguy]

angeblich soll man mit einem speziellen verfahren die daten dennoch wiederherstellen können weil "angeblich" ein gewisser speicherzustand erhalten bleibt. die einzelnen informationen könnten den zustand wieder annehmen den sie am längsten innehatten.

echt jetzt? dann müsste man die frische überschriebende festplatte ein paar jährchen in die schublade legen.
ich glaube aber eher das ist ein mythos, weil das kann die platte doch gar nicht wissen genauso wenig welche daten besonders oft bewegt wurden.

 

[DarkInterceptor]

@capitalguy weshalb ich ja auch das "angeblich" hingeschrieben habe. wirklich dran glauben tu ich selbst nicht.

 

[capitalguy]

Ja, es gibt eine, allerdings sehr kleine Wahrscheinlichkeit, ein paar gelöschte Bits auf Festplatten mit viel High-Tech-Einsatz wiederbeleben zu können.

das ist nicht so gut, vielleicht ist darunter eine kleine text datei mit passwörter oder ein tagebuch. es muss sicher sein! ich glaube es ist besser zu formatieren, überschreiben überschreiben überschreiben und wieder formatieren.

 

[Serana]

@capitalguy
Um eine winzige Datei wiederzubeleben in der nur die Worte "Hallo Welt" als ASCII-Text stehen, müssen 10 Bytes rekonstruiert werden. Das sind 80 Bits.

Wie hoch ist deiner Meinung nach die Wahrscheinlichkeit auf einer gelöschten Festplatte 80 aufeinanderfolgende Bits zu rekonstruieren? Wie hoch ist die Chance das hinzukriegen, wenn du nicht einmal weißt wo die Datei anfängt und wo sie aufhört? Und das ist nur der reine Dateninhalt ohne Header.

Selbst wenn du genau weißt wo der interessante Teil anfängt, mußt du pro Byte 8 mal genau richtig liegen. Ansonsten bekommst du ein falsches Zeichen als Ergebnis.

 

[Purche]

das ist nicht so gut, vielleicht ist darunter eine kleine text datei mit passwörter oder ein tagebuch. es muss sicher sein! ich glaube es ist besser zu formatieren, überschreiben überschreiben überschreiben und wieder formatieren.

Dann gerne hier mal für Dich als Veranschaulichung. Nehmen wir an, das Tagebuch ist extrem kurz, denn das einzige was drinsteht ist: "Letztes Wochenende habe ich das erste Mal Ulrike genagelt" und es ist eine einfache *.txt Textdatei (8 Bit Ascii).

Bei 56% Erfolgswahrscheinlichkeit pro Bit (Stand vor 12 Jahren, heute sicher noch näher an den 50% für richtig raten) beträgt die Wahrscheinlichkeit folgendes zu rekonstruieren:
"L" -> 0,97%
"Letztes" -> 0,00000000000079% (12 Nullen hinterm Komma)
"Letztes Wochenende" -> 0,(34 Nullen)54%
"Letztes Wochenende habe ich" -> 0,(52 Nullen)41%
"Letztes Wochenende habe ich das erste Mal" -> 0,(80 Nullen)25%
"Letztes Wochenende habe ich das erste Mal Ulrike" -> 0,(94 Nullen)20%
"Letztes Wochenende habe ich das erste Mal Ulrike genagelt" 0,(112 Nullen)15%

Wenn Du ein Glückspilz bist: Mit einer vergleichbarem Glück wie einem 6er im Lotto stellst Du von dem Tagebuch etwa folgenden Anfangsteil korrekt wieder her:

"LetzYíЇÌÝðiRãäøœ“ËgQ¡ßOÿ�SÀn,VApd"

Das sind 4 korrekte Buchstaben. Für einen Sechser im Lotto. Ich würde eher den Lottogewinn nehmen.

 

[KataLiS]

Hier werden die Begriffe "gelöscht", "formatiert" und "überschrieben" viel zu sehr durcheinander geworfen.
Der c'T Artikel redet auch von "gelöschten" Bits, aber es sind überschriebene gemeint?
Unter löschen verstehe ich in den Papierkorb, Papierkorb leeren und keine weiteren Daten schreiben.

Formatierung Grund ist ein Verkauf danach

Wenn eine HDD und nur formatieren gemeint ist, ohne anschließendes überschreiben, dann ist es nicht unwahrscheinlich, dass die Daten nachher auslesbar sind.
Edit: Wie Serana im folgenden Beitrag geschrieben hat, war ich da auf einem sehr veralteten Stand. Seit Windows Vista überschreibt die Windows Formatierung (ohne Quick format) die Festplatte mit 0 bytes. (docs.microsoft.com)

die einzelnen informationen könnten den zustand wieder annehmen den sie am längsten innehatten.

Erinnert an "Wasser Gedächtnis" oder "Belebtes Wasser" (wird/wurde sogar lange Zeit in Österreichischen Krankenhäusern verwendet).

Bei 56% Erfolgswahrscheinlichkeit pro Bit (Stand vor 12 Jahren, heute sicher noch näher an den 50% für richtig raten) beträgt die Wahrscheinlichkeit folgendes zu rekonstruieren:
"L" -> 0,97%

56% ist so nah an 50%, dass man fast von Zufallstreffern reden kann, da jedes bit nur 2 Zustände habe kann. Wenn 56% aber korrekt sind und man nachweisen soll, ob eine mehrere Gigabyte große Datei auf der Festplatte existierte kann ich mir das als durchaus realistisch vorstellen. Bei 56% nicht gerade überzeugend, aber realistisch. Aber wie Purche gezeigt hat ist das rekonstruieren von ganzen Bytes eher selten.

Man kann aber versuchen die Chance zu verbessern. Bei Textdokumenten kann man davon ausgehen, dass es sich um (Überraschung) Text in einer bestimmten Sprache handelt und die Dokumente irgendwie strukturiert sind. ASCII benutzt pro Byte nur 7 Bit. Wenn ich davon ausgehe, dass der Text fast nur mit Standardzeichen geschrieben wurde (die paar Sonderzeichen der Deutschen Sprache kann man auch überspringen) sollte so mit Glück, Algorithmen und künstlicher Intelligenz es möglich sein mit 56% der Bits zumindest plausible Fragmente wiederherzustellen.

56% pro Bit hört sich trotzdem noch nach Glückstreffer und "Erfolgsorientierten Wissenschaftlern" an. Bei einem "ist die Zahl 1 oder 0?" Ratespiel in 56% der Fälle richtig zu liegen ist nicht so derart überzeugend.