computerwoche.de

Security

Ratgeber Datenrettung

Was tun, wenn die Daten weg sind?

01.12.2011
Von  und
Thomas Bär, der seit Ende der neunziger Jahre in der IT tätig ist, bringt weit reichende Erfahrungen bei der Einführung und Umsetzung von IT-Prozessen im Gesundheitswesen mit. Dieses in der Praxis gewonnene Wissen hat er seit Anfang 2000 in zahlreichen Publikationen als Fachjournalist in einer großen Zahl von Artikeln umgesetzt. Er lebt und arbeitet in Günzburg.
Alle Posts des Autors Email:
Frank-Michael Schlede arbeitet seit den achtziger Jahren in der IT und ist seit 1990 als Trainer und Fachjournalist tätig. Nach unterschiedlichen Tätigkeiten als Redakteur und Chefredakteur in verschiedenen Verlagen arbeitet er seit Ende 2009 als freier IT-Journalist für verschiedene Online- und Print-Publikationen. Er lebt und arbeitet in Pfaffenhofen an der Ilm.
Alle Posts des Autors Email:

Der "Normalfall": Ich habe die Datei gelöscht…

Entspricht nicht so ganz der Wirklichkeit: Auch wenn das Windows-System hier von „unwiderruflich“ spricht, sind die Daten nach dem Löschen doch nicht wirklich weg. Eine Tatsache, die sich Programme zur Datenwiederherstellung zu Nutze machen.
Entspricht nicht so ganz der Wirklichkeit: Auch wenn das Windows-System hier von „unwiderruflich“ spricht, sind die Daten nach dem Löschen doch nicht wirklich weg. Eine Tatsache, die sich Programme zur Datenwiederherstellung zu Nutze machen.
Foto: Frank-Michael Schlede / Thomas Bär

Jeder IT-Experte, ganz gleich ob er professionell oder als "Ersthelfer" im semi-professionellen respektive privaten Umfeld tätig ist, kennt die Situation: Ein Nutzer hat nach eigenen Aussagen "nichts gemacht", die wichtige Datei ist aber trotzdem verschwunden - oder er/sie hat "aus Versehen" das Löschen (mitsamt der Sicherheitsabfrage) für diese Daten ausgewählt. Nun ist mit dem normalen Löschen sowohl unter einem Windows-Rechner als auch auf einem Mac noch kein großer Schaden angerichtet - das System hat die Dateien nur in den Papierkorb geschoben. Aber selbst wenn sich der Anwender (gewollt oder ungewollt) für ein vermeintlich sicheres Löschen entschieden hat, indem er beispielsweise auf seinem Windows-Rechner beim Löschen die Shift-Taste gedrückt hielt, sind die Daten und damit die Informationen nur auf dem ersten Blick wirklich "weg". Das hat mit der Art und Weise zu tun, auf die ein Betriebssystem Daten und Dateien vorhält und im Zweifelsfall auch wieder "beseitigt".

Kleiner Ausflug zu den Dateisystemen

Damit ein Betriebssystem auf der Festplatte Dateien ablegen und sie in einer für den Anwender nachvollziehbaren Weise wiederfinden und anzeigen kann, legt es über die reine Speicherhardware der Festplatten eine logische Struktur, das sogenannte Dateisystem. Diese Struktur unterscheidet sich je nach Betriebssystem, das auf dem Rechner zum Einsatz kommt. Hier einige Beispiele von aktuellen Betriebssystemen und den jeweils dazu gehörenden Dateisystemen:

  • Microsoft Windows - NTFS (New Technology File System),

  • Apple OS X - HFS+ (Hierachical File System),

  • Linux (hier stehen diverse Dateisysteme zur Verfügung) - Beispiele sind XFS oder ext2 (sehr lange das Standard-Dateisystem der Linux-Rechner).

Auf den Apple-Systemen sieht es etwas anders aus: Wer hier sicher löscht, beziehungsweise den Papierkorb entleert sollte besser eine Backup-Kopie seiner Daten besitzen. Hier sorgt das Betriebssystem dafür, dass die Daten wirklich „weg“ sind.
Auf den Apple-Systemen sieht es etwas anders aus: Wer hier sicher löscht, beziehungsweise den Papierkorb entleert sollte besser eine Backup-Kopie seiner Daten besitzen. Hier sorgt das Betriebssystem dafür, dass die Daten wirklich „weg“ sind.
Foto: Frank-Michael Schlede / Thomas Bär

In diesen logischen Strukturen der Dateisysteme werden Dateien beim Löschen in der Regel auch nur "logisch entfernt". Das bedeutet, dass die Einträge für die Dateien nicht mehr vorhanden sind und der Speicherplatz auf der Festplatte wieder freigegeben ist. Die eigentlichen Informationen befinden sich aber nach wie vor auf dem Speichermedium und werden erst dann wirklich "gelöscht", wenn sie durch neue Daten überschrieben werden. Dies ist der Punkt, an dem die meisten Datenrettungswerkzeuge ansetzen.