Wohin gehen die gelöschten Dateien?

...komplette Frage anzeigen

9 Antworten

Für sicheres Löschen helfen Programme, die die benutzten Stellen auf der Festplatte x-mal überschreiben. Hierzu gibt es Freeware, wie z.B. Eraser.exe.

Wer Disketten u. Festplatten nicht mühsam u. zeitraubend vor dem Verschrotten überschreiben bzw. löschen will, nimmt die Bohrmaschine zum mehrfachen, schrägen Durchlochen. Da kommen die üblichen Datenträger-Finder nicht weiter, sondern nur Speziallabors.

Hallo Leute, ihr schreibt viel und deftig. Und die Frage ist immer noch nicht beantwortet.

Das Meiste was hier geschrieben wurde sind nur Halbwahrheiten oder sogar sind sogar falsch. Die Sache mit der FAT und dem roten Faden ist komplett falsch und diesen roten Faden gibts in keinem modernen Betriebssystem mehr... und mit Sektoren, Sektorengrössen oder sequentieller Dateiablage hats auch nix zu tun. Wenn überhaupt, dann hätte es mit Blocks und Clusters zu tun, das sind nämlich die schreibbaren logischen Einheiten. Aber auch das hat mit der ursprünglichen Frage nichts zu tun.

Wie eine Datei gelöscht wird, hängt grundsätzlich vom Diskoperating-System (DOS) ab und ist nicht einheitlich.

Gelöscht wird in der Regel nichts, weder in der FAT noch in den 'Daten'-Sektoren. Bei MS-DOS und kompatiblen Systemen wird einfach das erste Zeichen des Dateinnamens (in der FAT) ersetzt mit einem 'FF'. Mit einem HexEditor kann man dort einfach wieder eine reguläre Ziffer eintragen und schwups ist die Datei wieder da, sofern nicht durch andere Schreibprozesse die 'gelöschten' Datenteile überschrieben wurde.

Und genau das machen die Recovery-Tools. Entweder sie restaurieren den ersten Buchstaben aus der 2ten FAT (es befindet sich mindestens 1 Kopie auf der Disk), oder aber sie machen einen neuen Dateinahmen zB. chk0000 und sie kontrollieren, ob die dazugehörenden Clusters alle sauber verbunden sind und die Dateigrösse gemäss FAT-Eintrag physisch übereinstimmt.

Hallo Joachim.

Du schreibst weniger viel, aber genauso deftig. Darf ich Dich höflich darauf hinweisen, dass Du Dir selbst widersprichst?

Erst sagst Du:

> Die Sache mit der FAT und dem roten Faden ist komplett falsch und diesen roten Faden gibts in keinem modernen Betriebssystem mehr...

Dann erklärst Du:

> Bei MS-DOS und kompatiblen Systemen wird einfach das erste Zeichen des Dateinnamens (in der FAT) ersetzt mit einem 'FF'.

Und damit sprichst Du über dasselbe wie ich in meiner Erklärung, über die FAT, die File Allocation Table, den roten Faden.

Also viel Blabla um nichts.

0
@UlfDunkel

Nochmals: in der FAT gibt es keinen roten Faden, die Einsprungsadresse (die deinem roten Faden entspricht) befindet sind am Ende eines Blocks und nicht in der FAT. Deshalb hinkt auch der Vergleich mit dem Buch und dem Index. Das würde nämlich die FAT zu fest aufblasen.

Natürlich gibt es FAT, aber den beschriebenen roten Faden gibts darin sowenig, wie das Geschreibsle über Zugriff auf Sektoren und deren Grösse.

In deinem Bericht bekam ich die Ansicht, dass der Verzeichniseintrag in der FAT gelöscht wird. Aber es wird nur der erste Buchstaben des Dateinamens verändert.

Ich sehe keinen Widerspruch, sondern um eine nötige Detaillierung.

Nichts für Ungut, aber ich komme aus der Zeit, wo man Diskallokationen selber noch auf die Festplatten schreiben musste und kenne deshalb den Zugriff auf Speichermedien im Detail.

0

Ergänzung zur Daten-Löschung.

Hochprofessionelle Datenrecovery-Tools die zur forensischen Datenanalyse verwendet werden, können manchmal sogar Daten rekonstruieren, die mehrmals überschrieben wurden. Teilweise gelingt dies sogar nach Jahren. Sehr hoch ist dabei die Wahrscheinlichkeit, wenn die Festplatte unmittelbar nach der Löschung pre-(formattiert) wurde. Der Grund liegt darin, das bei der Preformattierung die Spurlage etwas verändert wird und viele Datenfragmente 'zwischen' den Spuren liegen und nicht mehr voll überschrieben werden. Gerade bei neuen Festplatten können Magnetanteile auf den Zwischenspuren mitmagnetisiert (übersprechen) werden und wenn der Schreibkopf nachlässt, werden diese Zwischenspuren nicht mehr magnetisiert, was dazu führt, dass Datenfragmente bestehen bleiben.

Wirklich sichere Methoden zur Löschung sind, Hammer und Bohrmaschine oder allenfalls ein Hochleistungsmagnet in einem Kraftwerk oder ein EMP nach einer Atomexplosion. Aber das hat man ja nicht alltäglich zur Hand.

Lieber Joachim Wiedemann,

bitte nutze doch in Zukunft für Ergänzungen Deiner Antwort das Kommentarfeld.

Vielen Dank im Voraus und viele Grüße

Verena vom gutefrage.net-Support

0
@support

Verena du hast recht, wäre besser gewesen. Aber so im Nachhinein, muss ich sagen, die Übersichtichkeit ist höher, wenn man sein Topic separat postet, als im Diskusionsbaum.

0

Der "Papierkorb" und das anschließende Leeren besagt nur, dass die Dateien an dem bisherigen Platz bereit sind, überschrieben zu werden. Wenn du den Rechner ausschaltest, könnten sich dann andere Dateien an die reservierten Stellen setzen. Wenn das passiert, würden auch Recovery Tools versagen.

Hallo Claudispezial.

Dateien werden auf den Festplatten in bestimmten kleinen Häppchen (Sektoren) gespeichert, die Du z.B. mit den Seiten eines Buches vergleichen kannst. Eine kleine Textdatei, die nur "Hallo Welt" enthält, wird in einen Sektor passen und dort noch Platz übriglassen. Moderne Festplatten haben üblicherweise Sektorengrößen von z.B. 2, 4, 8 oder 16 Kilobyte.

Größere Dateien müssen auf der Festplatte überhaupt nicht in hintereinanderliegenden Sektoren liegen. Stell Dir vor, Du nimmst ein Taschenbuch, schneidest den Buchrücken ab, so dass eigentlich alle Blätter lose sind, und dann ziehst Du durch alle Seiten einen langen, reißfestn roten Bindfaden. Dann wirfst Du die Seiten munter ins Zimmer. Ein anscheinend heilloses Durcheinander.

Aber der rote Faden zeigt Dir, wo die nächste Seite ist. Dieser rote Faden existiert für jede Datei auf der Festplatte und wird in sogenannten FATs (File Allocation Tables) gespeichert.

Wenn eine Datei "einfach gelöscht" wird (also nur mit [Entf] oder dem Kontextmenü-Befehl "Löschen", wird nur die FAT der ersten Seite geändert, so dass das Betriebssystem weiß, dass dieses "Buch" jetzt nicht mehr auf dem Zimmerboden liegt, sondern im Papierkorb. Es wird aber auch vermerkt, dass es mal auf dem Zimmerboden lag. Du kannst ja Dateien aus dem Papierkorb "wiederherstellen". Schwupp, sind sie wieder an der früheren Stelle.

Erst beim "endgültigen Löschen" (mit [Shift][Entf] oder mit "Papierkorb entleeren") wird die FAT komplett zerstört. Das heißt, die Seiten sind dann noch da, aber der rote Faden nicht mehr. Die nun nicht mehr einer Datei zugewiesenen Seiten (Sektoren) gelten wieder als frei, auch wenn auf ihnen noch der Inhalt des alten Buches steht.

Im Gegensatz zu echten Buchseiten kann die Festplatten-Verwaltungssoftware nun diese Seiten einfach überschreiben und neue Inhalte dort ablegen. Das passiert vollautomatisch und sobald entsprechende Sektoren des alten Buches mit neuen Inhalten überschrieben sind, ist die alte Buchdatei nicht mehr vollständig rekonstruierbar.

Es gibt Spezial-Recovery-Programme, die solche Dateireste in verschiedenen Fällen dennoch wiederherstellen können. Dazu nutzen sie alle erdenklichen Methoden und versuchen, die Reste roter Fäden und Sektoreninhalte sinnvoll wieder zu verknüpfen. Je weniger die Festplatte nach dem Löschen benutzt wurde, desto größer ist die Wiederherstellungschance.

Daher sollte man, wenn man alte Festplatten verkauft, diese auf jeden Fall hart löschen, also tatsächlich mit Spezial-Löschprogrammen alle Sektoren der Platte mehrfach überschreiben lassen. Dabei werden zufällige Bitmuster in alle Sektoren geschrieben, was dem feinen Schreddern alter Buchseiten entspricht.

Tönt alles schön und deftig, ist aber falsch.

Weshalb schreib ich einem separaten Kommentar.

0

Speziallöschprogramme schön und gut. Aber warum so umständlich? das gute alte FDISK tut hier gute Arbeit, ich würde eine Festplatte sowieso nur unpartitioniert weitergeben, also vorher mit FDISK die vorhandenen Partitionen löschen.

0

Diese Erklärung ist toll und von jedem zu verstehen

0

Huhu,

Gelöschte Dateien werden nicht verschoben, sondern nur aus der FAT entfernt. Die Dateien sind phyikalisch noch vorhanden und zwar am selben platz (Speicherort auf Datenträger), wie vor der Aktion.

Mit Recovery Tools kann man das aber wieder rückgänig machen: http://www.google.de/search?hl=de&q=Recovery+Tools&btnG=Suche&meta=

ha! hab ich mir doch gedacht, dass die nicht einfach im luftleeren raum verschwinden können... ;o)

0

Der Link (Verzeichniseintrag) zu den Daten wird durch das Löschen entfernt, also praktisch das Lesezeichen für den Explorer im Dateisystem geht verloren.
Dadurch sind diese Daten mit normalen Windows- Bordmitteln nicht mehr zu lesen. Recovery- Programme können sie aber immer noch aufspüren, solange bis der frei gegebene Speicherplatz mehrmals überschrieben ist.

Um die eigentliche Frage zu beantworten: Die Daten bleiben an der gleichen Stelle auf der Festplatte, Windows gibt aber das Signal, dass der Platz frei ist. Somit können die Dateien von neu gespeicherten Dateien überschrieben werden.

Gute Antwort.

0

warum eigentlich mehrfach überschrieben? Das würde ja bedeuten daß ich auf meiner Festplatte doppelte, dreifache oder noch höhere Kapazität hätte, wenn sowohl die neuen Daten als auch die "alten" gelöschten noch vorhanden wären

0
@Mismid

Die überschreibenden Daten haben nie die exakt gleiche Größe. Sie müssen ja immer etwas kleiner sein, damit sie an dieser Stelle gespeichert werden können. So bleiben dann immer noch Fragmente zurück.

0
@casualuser

@casual: Diese Erklärung ist nicht ganz korrekt. Die Überschreibeprogramme wissen, wie groß die Sektoren sind, und füllen sie vollständig. Daher reicht bei guten Überschreibeprogrammen ein einmaliger Durchlauf.

0
@UlfDunkel

@UlfDunkel: Überschreib- Programme? Die habe ich doch gar nicht erwähnt. Es ging doch um Windows, oder?

0
@UlfDunkel

und wenn es so wäre, dass Sektoren gefüllt würden, dann wären noch andere Dateien weg oder sogar die Disk leer.....

0
@casualuser

nö, damit hat die Defragmentierung nichts zu tun. Die Dateigrösse hat mit der Speicherung nichts zu tun, da ohnehin in kleine Blöcke (oder auch Frames) gespeichert wird. Das OS interessiert sich nicht dafür, wieviele Blocks verwendet werden und wo sie liegen. Und der Block kann genau gleich wieder beschrieben werden wie zuvor. Nur wird vermutlich der nächste Block von einer anderen Datei belegt sein, so dass sich das OS einen freien Block suchen muss, der sich irgendwo auf der Festplatte finden lässt. Und wie schon gesagt, mit Sektoren hat das Ganze überhaupt nichts zu tun.

0

Genau so sieht es aus - knapp und gut erklärt. Das beantwortet auch gleich die Frage nach dem wiederherstellen...

0

nee...ist keine dumme frage...das habe ich mich auch schon oft gefragt...glaube...das man geloeschte dateien immer wieder ...irgendwie...zurueckholen kann...

Kommen die gelöschten Dateien vielleicht in den Himmel? Ich fände es schön. Bin halt kein IT-Freak.

Was möchtest Du wissen?