Kann man gelöschte Dateien auf SSD wiederherstellen, obwohl die Löschung vor einer Woche war?
Trim Command wird funktionieren.
Wenn Daten auf einer SSD gelöscht werden, bleiben oft Reste dieser Daten im Speicher zurück. Dies liegt daran, dass SSDs anders als herkömmliche Festplatten keine Dateien physisch löschen, sondern die Daten als "gelöscht" markieren und den Speicherplatz als verfügbar kennzeichnen. Wenn neue Daten geschrieben werden, kann es zu einer Verzögerung kommen, während die SSD den Speicherplatz vorbereitet und die alten Daten überschreibt. Hier kommt Trim ins Spiel. Trim ist ein Befehl, der vom Betriebssystem an die SSD gesendet wird. Wenn das Betriebssystem Trim unterstützt und aktiviert ist, informiert es die SSD über die gelöschten Dateien und Sektoren. Die SSD kann dann den Speicherplatz, der als "gelöscht" markiert wurde, intern bereinigen und für neue Daten vorbereiten. Dies ermöglicht eine schnellere Schreibgeschwindigkeit, da die SSD den Speicherplatz nicht mehr vor dem Schreiben von Daten löschen muss.
4 Antworten
Kann man gelöschte Dateien auf SSD wiederherstellen, obwohl die Löschung vor einer Woche war?
Das kann Dir niemand ohne eine Analyse des Gerätes sagen können.
Trim Command wird funktionieren.
Was schon mal suboptimal wäre auszuführen, wenn man noch Daten retten möchte. 🤷♂️
Den unleserlichen Textblock tue ich mir nicht an.
Willst Du gelesen werden, dann gestalte die Form des Textes so, dass man ihn auch lesen will.
Die TRIM-Funktion kann jedoch auch dazu führen, dass gelöschte Dateien nicht mehr wiederhergestellt werden können. Wenn die TRIM-Funktion aktiviert ist und auf die betreffenden Speicherbereiche angewendet wurde, werden die Daten physikalisch von der SSD gelöscht und können nicht mehr wiederhergestellt werden. Dies geschieht, um Platz für neue Daten zu schaffen und die Leistung der SSD zu optimieren.
Da deine Rechner bereits einkassiert wurden, kannst du da nichts mehr löschen. Die wurden nicht ohne Grund als Beweismittel sichergestellt und ausgewertet. Wäre nichts drauf, hättest du sie schon wieder
Eben und bei dir läuft alles noch weil man was gefunden hat.
Die müssen erst mal meine über Jahre gesammelten Hinweise abarbeiten. Das kann dauern. 😈
Da deine Rechner bereits einkassiert wurden,
Du hast Dir die Textwand angetan? Wow!
Anyway: Wenn Die Behörden und ihre Forsensiker dran sind, dann ist alles offen - "anything goes", wie der Ami sagt. 🤷♂️
Soll ich jetzt noch die Liternei abhalten, warum man den Inhalt von SSDs zwingend verschlüsseln sollte? Ach ist eh zu spät....
Der Kerl hat hier schon ca 2300 Profile verschlissen. Eigentlich ist er längst ausgewiesen worden, kommt dem aber nicht nach. Viel lieber bombardiert er alle möglichen Vereinigung wie das Studentennetzwerk, Unis und Behörden mit seinen Mails.
Soll ich jetzt noch die Litanei abhalten, warum man den Inhalt von SSDs zwingend verschlüsseln sollte?
Besser nicht.
Der hat so viel auf dem Kerbholz, das ist schon in Ordnung, wenn sie ihn jetzt dran kriegen. 😁
Das klappt nicht mal mehr nach einer Minute wenn du Pech hast: https://www.youtube.com/watch?v=5wum2Nb8CL8
Lade dir die DEMO-Version von https://r-Studio.com herunter und schau ob du noch brauchbare Daten finden kannst!
Auch Forensiker schaffen das nicht?
Sind diese Daten auf dem PC gespeichert? dass ich mit einer Website verbindet war. Ich meine nicht browsing verlauf. Ich meine als Netzwerk also IpAdressen
Also ein Windows-System hat weit über 100 Artefakte, die man auswerten kann. Diese reichen von Log-Einträgen über Vorschaubildern und temp. Dateien bis hin zu Dingen wie SCRUM, Pfefetch-Dateien und Jumplists.
Es finden sich da sicherlich einige Reste um nachzuweisen das etwas gemacht wurde.
Auch Linux- und Mac OSX Systeme haben derartige Artefakte!
Ich brauche als Forensiker nicht immer die eigentlichen Daten - meist kann man anhand der Spuren alles klar aufzeigen. Das Löschen von Beweisen ist dann aber auch ein klares Indiz dafür, dass bewusst versucht wurde Spuren zu vernichten und das macht es deutlich, dass man sich der eigenen Schuld bewusst war.
Wird dann halt auch entsprechend negativ von Richtern ausgelegt.
Die Polizei hat alle seine Geräte beschlagnahmt.
Und ich hoffe sehr, dass die es schaffen, die Daten wiederherzustellen. Obwohl er doch vorher hier fleißig gefragt hat, wie er alle Beweise löschen kann. 😈
Achso - für ungeübte ohne Wissen über IT-Forensik hilft da eigentlich nur den Vorschlaghammer. Wenn alles in kleine Bruchstücke zertrümmert ist, kann man schwerlich noch was finden.
Sonst finden wir in der Regel noch Spuren auf den Geräten. Die Frage ist da eher ob sich der Staatsanwalt den Aufwand antun will und ob er die Kosten rechtfertigen kann/will.
Die Latte an Straftaten ist lang und reicht von Betrug, Veruntreuung, Unterschlagung, Beleidigung bis offensichtlich bald zu Verleumdung.
Ach,
illegaler Aufenthalt in Deutschland (da er bereits zur Ausreise aufgefordert wurde) kommt auch noch hinzu.
Deine Angaben sind immer, wenn ich sie lese, sehr erhellend.
Die Latte an Straftaten ist lang und reicht von Betrug, Veruntreuung, Unterschlagung, Beleidigung bis offensichtlich bald zu Verleumdung.
Wie kommst du drauf?
Ich bin eine der Personen, die Anzeige gegen ihn erstattet haben. Und ich stehe in lebhaftem Austausch mit einigen der anderen. ;)
--> Nein
Dafür sind zu viele Sektoren Überschrieben worden die das Restaurieren der Daten ermöglicht hätten.
Wozu zum Teufel gibt es Backup Programme wie z.B. ACRONIS ?
Jeder ist selbst angehalten für seine Daten aufzukommen sie zu sichern und auch zu Pfelgen. Wer das nicht macht ,für den hab ich selbst kein Verständnis .
Wenn Daten auf einer SSD gelöscht werden, bleiben oft Reste dieser Daten im Speicher zurück. Dies liegt daran, dass SSDs anders als herkömmliche Festplatten keine Dateien physisch löschen, sondern die Daten als "gelöscht" markieren und den Speicherplatz als verfügbar kennzeichnen.
Das macht Windows mit dem Befehl Format schon. sobald neue Datan Angefordert werden( z.B: Neuinstallation) werden die Markierten Speicherzellen Überschrieben und die Daten sind auf nicht mehr wiedersehen verloren.
Was Trim angeht bist du Völlig Falsch Informiert.
Trim Kommuniziert mit dem Controller der SSD und Prüft jede Zelle die ansprechbar ist auf deren Funktion. Hat gar nichts mit Wiederherstellung von Daten oder dergleichen zu tun. In der Firmware der SSD stehen die entsprechenden Zellen drin deren Spezifikationen. Trim prüft nun welche Speicherzelle noch im Rahmen der Spezifikationen liegt und meldet es an den Controller zurück. Dieser trägt die Daten in seine Firmware ein. Bei Neuinstallation oder schreiben von Daten werden entsprechende Zellen zuerst verwendet um möglichst eine langlebige Struktur zu erhalten .Das kann der Controller nur wenn über Trim die Daten der Speicherzellen in der Firmware vorliegen. Die Zellen die am lebenensende sind oder Defekt ( je nachdem) werden entsprechend Markiert und der Controller weis dann das er diese Zellen nicht mehr verwenden darf. Die Menge ist Unterschiedlich und von SSD Modell zu Modell verschieden. Im Schnitt sind es 5% der Gesamtkapazität die so der Controller aus dem Pool Verwalten kann um Defekte zu ersetzen. Ist die Kapazität irgendwann erschöpft , werden Schreib/Lesefehler angegeben die soweit führen kann das es nicht mehr Möglich ist Daten auf der SSD zu lesen oder zu Schreiben.
Die höhere Schreib/Lesegeschwindigkeit einer SSD gegenüber Konventionellen Platten besteht darin das eine SSD über keine Mechanischen Beweglichen Teile verfügt. Der Zugriff erfolgt so um so schneller auf elektronischen Wege. Da keine Mechanischen Teile die zugriffe Behinden können.
Intelligenz und Qualifikation, also genau die Kombi, von der Du so besessen bist.
Die ersten 2 Absäze passen, aber wo immer du den Rest her hast, da hast du was verwechselt. Was du bei Trim schreibst, passiert bei einer vollständigen Formatierung oder Datenträgerprüfung / badblocks, aber hat mit Trim nichts zu tun.
Das Betriebssystem löscht Dateien grundsätzlich so, dass es diese nur als "gelöscht" markiert bzw. den Eintrag in der Deskriptortabelle / FAT / Verzeichnis / MFT / etc. löscht. Die Daten bleiben (auch bei drehenden Platten) erstmal erhalten. Die Platte / SSD hat erstmal keine Ahnung davon, ob ein Block frei oder belegt ist, dass weiss nur der Filesystem-Treiber vom Betriebssystem. Wenn ein Block noch nie geschrieben wurde, steht einfach Müll drin, das weiss aber die Platte nicht.
Für SSDs ist das aber blöd, da der Controller der SSD ja die Schreibzugriffe gleichmäßig auf alle Zellen verteilen will und ggf. Reservezellen mit einbeziehen will, um die Lebensdauer zu erhöhen, weil Zellen nicht beliebig oft geschrieben werden können. Daher teilen neuere Betriebssysteme der SSD mit, welche Blöcke gelöscht sind, indem sie diese eben mit dem Trim bzw. Deallocate bei NVMe als gelöscht markieren. Wird vom Betriebssystem daraufhin der gleiche logische Block neu beschrieben, kann der Controller das dann auf einen anderen physischen Block mappen. In Wirklichkeit ist das noch komplizierter, weil sich oft nur Blockgruppen mappen lassen, aber egal. Je nach SSD kann es sein, das beim Lesen eines gelöschten Blocks entweder doch noch der alte Inhalt, immer gleicher Datenmüll oder immer verschiedener Datenmüll zurückgeliefert wird.
Trotzdem lassen sich solche Daten oft auch nach einiger Zeit (aufwendig) wiederherstellen, indem man die SSD selbst zerlegt und den Flash ohne den Controller direkt ausliest, insbesondere wenn die SSD nicht voll ist. Ob das eine Strafverfolgungsbehörde macht, wird auf die Schwere der Tat ankommen, es ist auf jeden Fall teuer.
Ein Format unter Windows löscht im übrigen auch keine Daten, sondern schreibt nur die Verwaltungsstrukturen neu, so dass die Daten nicht mehr sichtbar sind. Ein vollständiges Format prüft zusätzlich noch alle Blöcke, aber ohne diese zu löschen. Sowas kann man mit Testdisk o.Ä. auch wieder herstellen. badblocks (Linux) kann man per Option dazu bringen, dass es überschreibt. Aber bei einer SSD hilft das auch nicht 100% wegen dem internen remapping. Um SSDs sicher zu löschen, haben einige SSDs einen extra SECURE ERASE Befehl.
Du willst hier wirklich einem Straftäter Tipps geben, wie er künftig seine Taten verschleiern kann?
Secure Erase ist kein Tipp, das löscht die gesamte SSD und ist daher ziemlich unpraktisch, weil man den Rechner danach neu aufsetzen muss. Und wie man Daten sicher löschen kann, findet man sicher auch noch anderer Stelle im Internet, sogar hier.
Nebenbei: Jemanden öffentlich als Straftäter zu bezeichnen, bevor er verurteilt wurde, ist auch eine Straftat.
Dafür sind zu viele Sektoren Überschrieben worden die das Restaurieren der Daten ermöglicht hätten.
Nein, das hat nichts damit zu tun. Bei einer HDD bleiben gelöschte Daten erhalten und können bis zum Überschreiben mit neuen Daten gerettet werden. Das Kann je nach Nutzung der HDD nur Stunden dauern oder auch Monate.
Man kann dies also so nicht sagen. Bei SSDs leert TRIM nicht benutzte Speicherbereiche sofort damit die Zellen wieder für das Beschreiben vorbereitet werden.
Wenn Daten auf einer SSD gelöscht werden, bleiben oft Reste dieser Daten im Speicher zurück.
Nein! Siehe meine Antwort und das verlinkte Video.
Dies liegt daran, dass SSDs anders als herkömmliche Festplatten keine Dateien physisch löschen, sondern die Daten als "gelöscht" markieren und den Speicherplatz als verfügbar kennzeichnen.
Das macht das Dateisystem - unabhängig von HDD, SSD, USB-Stick oder sonst einem Datenträger.
Trim Kommuniziert mit dem Controller der SSD und Prüft jede Zelle die ansprechbar ist auf deren Funktion.
Nein! Windows triggert TRIM um der SSD zu sagen, dass diese bestimmte Speicherzellen löschen kann. Allerdings gibt es auch einige TRIM-Routinen intern in der Firmware um Bereiche zu trimmen die auf Grund von Wearleveling ausgemappt wurden.
Man nennt das dann auch teilweise Garbage Collection.
In der Firmware der SSD stehen die entsprechenden Zellen drin deren Spezifikationen. Trim prüft nun welche Speicherzelle noch im Rahmen der Spezifikationen liegt und meldet es an den Controller zurück.
Das ist ein Neben-Effekt davon aber nicht der Hauptgrund. SSDs können Daten nicht überschreiben. Eine SSD kann auch nicht einzelne Zellen oder Sektoren löschen. SSDs können einzelne Pages schreiben aber nur ganze Blöcke löschen.
Das liegt an der Konstruktion der Speicherchips und daran, dass das Löschen ein ganz anderer Vorgang ist als das Beschreiben. Daher brauchen SSDs TRIM um Löschvorgänge im Hintergrund auszuführen damit Speicherzellen wieder für eine erneute Nutzung vorbereitet werden.
Lässt sich eine Speicherzelle nicht mehr löschen, wird Sie als defekt markiert aber das ist nur der Nebeneffekt. Bei TRIM geht es darum, dass eine SSD beim Überschreiben sonst so viele Aktionen ausführen müsste, dass Sie viel langsamer würde. TRIM hält die SSD also sauber und leert nicht mehr gebrauchte Speicherbereiche um das erneute Beschreiben in der gleichen Geschwindigkeit wie zuvor zu ermöglichen.
Bei Neuinstallation oder schreiben von Daten werden entsprechende Zellen zuerst verwendet um möglichst eine langlebige Struktur zu erhalten.
Nein - Schreibvorgänge nutzen die Speicherzellen ab. Daher wird versucht die Zellen möglichst gleichmäßig zu nutzen. Daher haben SSDs oftmals die 2 - 4-fache Speichermenge Verbaut um genügend Reservespeicher für eine lange Lebensdauer zu haben!
Im Schnitt sind es 5% der Gesamtkapazität die so der Controller aus dem Pool Verwalten kann um Defekte zu ersetzen.
Bei der HDD. Bei der SSD ist es viel mehr. Ich habe gerade ein Chip-Off bei einem 64GB Stick gemacht der 129GB Speicher verbaut hatte.
Man kriegt die nur wenn die Staatanwaltschaft das Verfahren einstellt.