Warum kann man verschlüsselte Festplatten formatieren? Kann man Daten wiederherstellen?
Wenn jemand eine Festplatte nicht knacken kann, hat er von außen die Möglichkeit sie zu formatieren, da es dadurch aber nicht 7 oder 35-fach überschrieben ist, hat man die Möglichkeit mit einem Forensik-Tool sie erfolgreich auszulesen? Kann man eine Entschlüsselung mit Filevault oder Veracrypt überlisten?
4 Antworten
hat er von außen die Möglichkeit sie zu formatieren
Beim Formatieren wird nichts gelöscht sondern nur ein leerer neuer Dateisystemkatalog (quasi eine Datenbank mit Dateinamen, Ordnerstrukturen, Zugriffsdaten, Rechten, usw.) erstellt.
Dadurch wird allerdings ein kleiner Teil der Daten überschrieben was sich negativ auf die Entschlüsselung auswirkt. Das wird also keiner Tun der Ahnung hat!
da es dadurch aber nicht 7 oder 35-fach überschrieben ist
Selbst nach einmaligem Überschreiben kann kein Datenrettungslabor mehr helfen. Das 7- bzw. 35-fache Überschreiben soll nur sicherstellen, dass dies auch noch in 50 Jahren nicht auslesbar ist.
Das hat aber keinen Einfluss auf zB ausgemappte Sektoren die man mit Tools wie MRT oder PC3000 wieder zugänglich machen kann. Ob man darin etwas nützliches findet ist aber reine Glückssache!
hat man die Möglichkeit mit einem Forensik-Tool sie erfolgreich auszulesen?
Ja aber dazu formatiert man die Platte nicht - Tools wie PassWare oder Hashcat können das Passwort knacken wenn es nicht besonders sicher ist.
Hallo,
das sind 2 verschiedene Sachen:
- Formatieren heißt doch nur, es wird ein neues leeres Inhaltsverzeichnis angelegt. Dadurch wird aber der Inhalt weder gelöscht noch überschrieben und dadurch einfach wiederherzustellen
- Verschlüsseln bedeutet aber, der inhalt wird verschlüsselt und neu auf die Festplatte geschrieben (und damit der alte Inhalt überschrieben).
Das Entschlüsseln Bedarf entweder den Schlüssel oder ein, je nach Verschlüsselung, großer Rechenaufwand um den Schlüssel zu finden.
Grüße aus Leipzig
Oh - überlesen. Ja, das einfache Löschen - da kann alles wiederhergestellt werden.
Alles was vor dem Bild speichern war ist doch egal. Da nur einmal gelöscht wurde, kann, z.B. mit Recuva, das Bild schnell wiederhergestellt werden!
Irgendwie lese ich das immer falsch....
Also, Du hast auf die verschlüsselte Festplatte ein Bild gespeichert (das Bild liegt also verschlüsselt auf der Festplatte).
Danach die Festplatte gelöscht und willst jetzt wissen, ob das Bild wiederherstellbar ist.
Da muss ich sagen, nein.
Falls es wiederherstallbar wäre, dann würdest Du das Ergebnis zu Lebzeiten nicht mehr erfahren.
Was vor dem Bild war ist egal, richtig, aber wenn das Bild wiederherzustellen wäre, dann hätte doch die Verschlüsselung keinen Sinn, da ich die Platte mit der Verschlüsselung ohne Passwort-Eingabe gelöscht habe.
Naja, das Vorgehen ist dann so:
- wird die verschlüsselte Festplatte wiederhergestellt - geht ganz einfachm, da Löschen nur bedeutet, dass im Inhaltsverzeichnis die Datei gelöscht wird - nicht aber die Datei selbst!
- Nun wird der Schlüssel über aufwändige Rechenoperationen gesucht, mit dem der Inhalt am besten lesbar ist - das kann aber zig..dauern.
Es ist nicht mehr notwendig 35 mal zu überschreiben.
Heutige Festplatten werden so dicht beschrieben, dass an den Seiten nichts mehr über steht.
Wenn die Daten überschrieben wurden sind sie in der Regel weg.
Und nein: eine vernünftige Verschlüsselung (AES, Blowfish, Rijndal, etc.) zum Beispiel via Veracrypt lässt sich nicht brechen. Am ehesten kann man noch das Passwort cracken wenn es nicht sicher genug gewählt wurde.
Aber ein Ermittler könnte rein theoretisch sie formatieren und sie für mich unbrauchbar machen?
Klar. Löschen geht immer.
Wenn man sich unbrauchbar machen will, kann man auch mit dem Hammer drauf hauen.
Formatieren heißt, dass das Dateisystem neu angelegt wird. Die Platte erscheint leer, aber die Daten sind noch vorhanden. Klar, die lassen sich zum großen Teil wieder herstellen - aber sie sind ja verschlüsselt. Verschlüsselung und Formatierung bzw. Dateisystem sind ja zwei unabhängige Sachen. "Überlisten" lässt sich da nichts.
Habe im Selbstversuch meine Platte 7 mal überschrieben, mit Filevault verschlüsselt und ein Bild darauf gespeichert. Die Festplatte danach abgezogen und wieder angeschlossen, dann kam die Passwort-Eingabe, habe stattdessen die Festplatte gelöscht, sodass ich sie ohne Passwort-Eingabe nutzen konnte. Wäre es jetzt möglich das eine Bild mit einem Forensik-Tool wiederherzustellen? Wenn ja, wäre es nicht sicher, wenn nein dann könnte man aus Rache trotzdem meine Daten einfach löschen?