Was wiederherstellbar bleibt, entscheidet der Datenträger

Wie viel sich aus einem freigegebenen Speicherbereich wiederherstellen lässt, hängt vom Datenträger ab. Und weniger von dessen Typ als davon, welches Modell und welche Firmware verbaut sind.

Klassische Festplatte

Kein TRIM. Freigegebene Bereiche werden überschrieben, wenn der Platz gebraucht wird.

SSD und Flash

Hier kommen TRIM und Garbage Collection dazu. Ein Experiment an einer NVMe-SSD unter Windows 10 mit NTFS zeigt den Unterschied: mit deaktiviertem TRIM liessen sich Dateien wiederherstellen und der Hashwert stimmte mit dem Original überein, mit aktiviertem TRIM waren die Dateien beschädigt und nicht wiederherstellbar.

Entscheidend ist aber die Ebene darunter. Eine Untersuchung von 2021 nennt als Faktoren für das Überleben gelöschter Daten in Flash-Speicher die Garbage Collection, den TRIM-Befehl, den Medientyp, den Hersteller, die Kapazität, das Dateisystem, den Dateityp und das Betriebssystem, und hält fest, eine herkömmliche Annahme über das Verhalten von Speichermedien sei nicht mehr gültig. Auch die TRIM-Unterstützung selber hängt vom Betriebssystem, vom Format und von der Anschlussart ab.

Mobiltelefone

Nach der Dokumentation des Android Open Source Project müssen alle Geräte, die mit Android 10 oder höher erscheinen, dateibasierte Verschlüsselung verwenden. Verschlüsselt werden Dateiinhalte und Dateinamen. Die Metadaten des Dateisystems, also Verzeichnisstruktur, Dateigrössen, Berechtigungen und Zeitstempel, sind davon nicht erfasst. Dafür braucht es die separate Metadatenverschlüsselung, und die ist erst für Geräte ab Android 11 auf internem Speicher zwingend.

Die Ebene unter dem Dateisystem

Was auf physischer Ebene übrig ist, ist damit nicht entschieden. Eine Arbeit in IEEE Transactions on Information Forensics and Security beschreibt, dass der Flash-Controller nur den zugewiesenen Bereich nach aussen gibt, der unzugewiesene über die Schnittstelle also nicht erreichbar ist. Über einen direkten Zugriff auf den Flash-Speicher im Innern des Bausteins lässt sich mehr erreichen, das verlangt aber einen Eingriff in die Hardware. Und wie diese Controller arbeiten, ist herstellerspezifisch und je Modell verschieden.

Was daraus folgt

Eine allgemeine Antwort gibt es deshalb nicht. Was ein Datenträger noch enthält, ist eine Frage des Einzelfalls und keine, die sich aus dem Gerätetyp ableiten lässt. Wie ein Auswertungsbericht benennt, mit welchem Verfahren eine Datei gefunden wurde, steht im Beitrag zu den zwei Angaben zu einer Datei.

Um welchen Datenträger handelte es sich, und welche Extraktionsart lag dem Bericht zugrunde?