IT-Sicherheit: Datenrettung und Beweissicherung sind eng verwandt

Wer kennt das nicht? Eine falsche Datei gelöscht und schon geht der Stress los: Wunder-Tools versprechen eine Rettung und häufig ist das auch erfolgreich. Ein Backup empfiehlt sich aber dennoch. Jedenfalls dann, wenn die Daten wichtig sind. Aber warum können Tools gelöschte Daten wiederherstellen?

Wie ist die Festplatte aufgebaut?

Um zu erklären, wie Datenwiederherstellungstools funktionieren, müssen wir zunächst betrachten, wie eine Festplatte ihre Daten speichert. Wenn Sie beispielsweise ein Bild speichern, wird es auf dem Datenträger abgelegt. Moderne Dateisysteme sind bestrebt, die Dateien dort abzulegen, wo sie zusammenhängend gespeichert werden können, um Fragmentierung zu vermeiden. Beim Speichervorgang werden also die Daten auf der Festplatte abgelegt. Es gibt außerdem ein Inhaltsverzeichnis, in dem vermerkt ist, wo auf der Festplatte die Daten, die zu der Datei gehören, abgelegt sind. Der Umkehrschluss daraus ist, dass alle Orte, die nicht verzeichnet sind, für neue Daten genutzt werden können. Das ist für die Wirkungsweise der Datenrettung wichtig.

Was beim Löschen passiert

Das Löschen von Daten geht viel schneller vonstatten als das Speichern. Das liegt daran, dass beim Löschen einer Datei nicht die Datei selbst gelöscht wird, viel mehr wird der Verweis im Inhaltsverzeichnis entfernt oder unkenntlich gemacht. Für das Betriebssystem bedeutet das: Der Ort, an dem die Datei vormals gespeichert war, steht nun für neue Daten zur Verfügung. Für die Festplatte bedeutet das aber, dass die Daten an sich noch vorhanden sind, sie können lediglich nicht mehr angesprochen werden.

Wie arbeiten Tools?

Programme, die dem Wiederherstellen von Daten dienen, suchen nach alten Verweisen auf gelöschte Daten. Mit etwas Glück – und wenn die Festplatte nicht allzu voll war, hat man meist Glück – wurde der Speicherplatz noch nicht wieder überschrieben. In dem Fall muss ein Tool zur Datenrettung nur ausfindig machen, wo eine Datei abgelegt war. Um die Datensicherheit zu erhöhen, gibt es bei modernen Dateisystemen nicht nur ein Inhaltsverzeichnis, sondern auch ältere Sicherungskopien der Inhaltsverzeichnisse, die erst nach und nach aktualisiert werden. Die Tools sind in der Lage, auch aus den Backups auszulesen, wo die Datei stand und können diese dann wiederherstellen.

Des einen Freud, …

Es gibt unzählige Fälle im privaten Bereich, in dem sich diese Methode bewährt hat, um versehentlich gelöschte Daten wiederherstellen zu können. Es gibt jedoch auch Fälle, in denen es notwendig ist, das zu tun, wenn Daten absichtlich gelöscht wurden, beispielsweise wenn auf IT-Systemen gespeicherte (und nun gelöschte) Daten als Beweis dienen. IT-Experten, die von Gerichten beauftragt werden, nutzen in dem Fall dieselben Methoden für die Wiederherstellung von Daten. Da man Datenträger zuvor auch 1:1 klonen kann, um dann an einer Kopie Daten wiederherzustellen, wird die Quelle nicht verändert, entsprechend sind so gewonnene Beweise rechtssicher.

Datenwiederherstellung kann noch weiter gehen

Auf die hier skizzierte Methode wird vor allem dann zurückgegriffen, wenn der Datenträger an sich noch in Ordnung ist und das Löschen mit „normalen“ Mitteln geschah. Datenrettungsspezialisten haben darüber hinaus die Möglichkeit, Daten auch in schwierigeren Situationen zu retten, etwa dann, wenn die Festplatte nicht mehr erkannt wird. Das ist jedoch oft eine Sisyphos-Arbeit, da dies nur mit direkten Zugriffen auf die Hardware gelingt. So können darauf spezialisierte Unternehmen wie Kroll Ontrack auch Festplatten physikalisch auslesen, also direkt mit einem Mikroskop, wenn das notwendig ist. In Anbetracht dessen, wie wertvoll Daten in unserer heutigen Zeit mitunter sein können, ist das meist sogar günstiger als einen Datenverlust in Kauf zu nehmen.