Blitzblank

Bei einem Festplattencrash oder anderen Systemkatastrophen ist jeder Betroffene überglücklich, dass dank ausgefeilter Techniken und Werkzeuge von Datenrettungsfirmen ein Großteil der vermeintlich zerstörten Daten wiederhergestellt werden kann. An die Kehrseite der Medaille denkt allerdings kaum jemand: Mit Betätigen der Löschtaste sind Daten noch längst nicht vom Rechner verschwunden.

Unternehmen, die nicht mehr benötigte PCs verkaufen oder Leasing- und Leihgeräte nach geraumer Zeit wieder zurückgeben, sollten sich versichern, dass keine sensiblen Daten oder -spuren mehr auf der Festplatte zu finden sind. Auch wenn jemand beim Kauf eines neuen PC den alten in Zahlung gibt, kann vorheriges gründliches ”Putzen“ der Platte von Vorteil sein.

Eine Neuinstallation des Betriebssystems oder das Löschen einer Datei ist nur vermeintlich sicher: Da alle Filesysteme beim Löschvorgang lediglich den Directory-Eintrag entfernen, der auf den Speicherort der Datei verweist, bleiben die eigentlichen Informationen physikalisch erhalten. Selbst wenn der Datenträger formatiert oder einfach nur komplett mit Nullen überschrieben wird, bleibt mit dem Rest-Magnetismus - auch Remanenz genannt - immer noch ein Weg, an die Daten zu gelangen (siehe Kasten ”Physikalische Datenvernichtung“).

Letzteres gilt zumindest noch für Festplatten der älteren Generationen. Mit zunehmender Speicherdichte bei den neueren Platten steigt auch der Aufwand zur Wiederherstellung überschriebener Daten - Erfolgsgarantien gibt es jedoch keine. Im Test unserer Schwesterzeitschrift c't [1] gelang es mehreren Datenrettungslaboren nicht, mit Standardmitteln die Testdateien auf den mit Nullen überschriebenen Festplatten wiederherzustellen. Allerdings wurden nicht alle Mittel ausgeschöpft, ein Labor etwa verwies auf den ”sehr großen technischen und finanziellen Aufwand“ für weitere Untersuchungen.

Kein aktueller Standard

Auch in Expertenkreisen herrscht Uneinigkeit. Forensikspezialist Larry Leibrock von der University of Texas at Austin etwa ist davon überzeugt, dass viele der vermeintlich überschriebenen Daten wiederherstellbar sind. Der Sicherheitsexperte Peter Gutmann, der 1996 eine eigene Löschmethode vorstellte, räumt hingegen ein, dass die bekannten Löschalgorithmen speziell auf die älteren, heute obsoleten Speichertechniken zugeschnitten waren. Sicherheitshalber empfiehlt er jedoch auch heute noch: ”A few passes of random scrubbing is the best you can do.“ Denn, so schrieb er an iX, ”this was true in 1996, and is still true now“.

Empfehlenswert ist auf alle Fälle, beim Löschvorgang den so genannten Schutzbedarf der zu entfernenden Daten angemessen zu berücksichtigen. Bis die Fachwelt ihre Erkenntnisse an aktuelle Speicherstandards angepasst hat und keine älteren Speicherplatten mehr in Benutzung sind, sollte man lieber eine Runde zu viel als zu wenig überschreiben, insbesondere wenn es sich um sensible Firmendaten handelt.

Dass unabhängig vom Alter der Festplatte und der Brisanz der Daten vielen Computerbenutzern die Problematik des Löschens nicht bekannt ist, zeigt ein kürzlich erfolgtes Experiment: Ein Forscherteam des Massachusetts Institute of Technology (MIT, web.mit.edu) erwarb bei eBay und verschiedenen Gebrauchtwarengeschäften 158 Festplatten, von denen lediglich 12 frei von Datenspuren waren [2]. Auf den anderen konnten die Forscher mit Hilfe forensischer Tools medizinische Daten, Pornografie, Liebesbriefe, Kreditkartennummern und weitere sensible Informationen rekonstruieren. Höhepunkt war der Fund einer Festplatte, die allem Anschein nach einst Bestandteil eines Geldautomaten war: Auf ihr fanden sich Kontonummern, Kontostände, Zugangsdaten und Teile der Automatensoftware.

Und Ende März forderte die Datenschutzbeauftragte des Landes Nordrhein-Westfalen, Bettina Sokol, Behörden zum sicheren Löschen ihrer Daten vor der Ausmusterung ihrer Rechner auf. Anlass der mahnenden Worte war der Fund sensibler personenbezogener Daten auf einem gebrauchten PC, den der Käufer dem Landesdatenschutzzentrum gemeldet hatte. Die Datenschutzbeauftragte verwies auf die Existenz spezieller Löschtools.

Diese Softwarewerkzeuge sind quasi als Abfallprodukte der forensichen Analyse und der Datenrettung entstanden. Das Vorgehen ist bei allen Tools gleich: Sie versuchen, auf dem physikalischen Sektor die Daten mit bis zu 35 speziellen Pattern (Bitmuster) so zu überschreiben, dass alle Kodierungen ausgenutzt werden und aus dem entstandenen Restmagnetismus keine brauchbaren Dateifetzen mehr zu rekonstruieren sind.

Grundsätzlich existieren zwei verschiedene Arten von Softwarewerkzeugen. Eine der beiden ist für das Löschen einzelner Dateien im Filesystem konzipiert. Sie ist als Dienstprogramm (bei Unix, GNU/Linux und Win32) oder Shell-Erweiterung in Windows-Betriebssystem integriert. Wenn nun eine Datei zu löschen ist, wird sie nicht umbenannt oder ihr Eintrag aus dem Directory entfernt, vielmehr überschreibt das Werkzeug sie mehrfach mit Löschpattern und löscht sie anschließend.

Ein Löschtool sollte außer den explizit zum Löschen bestimmten Daten auch alle freien Bereiche des Speichers überschreiben. Unter Umständen befinden sich dort noch ”Altlasten“ in Form von Daten, deren Verweise vor der Installation des Tools durch Betätigen des Delete-Buttons entfernt wurden.

Je nach Anbindung und Filesystem kann das Löschen auch per Fernzugriff (Remote) auf Servern erfolgen - Erfolgsgarantie gibt es jedoch keine. Ist etwa ein Versionskontrollwerkzeug dazwischen geschaltet, klappt das Löschen nicht.

Die zweite Kategorie von Tools löscht die komplette Festplatte oder Partition. Dazu bootet man meistens von einer Diskette oder CD aus und greift über einen Systemtreiber direkt auf das Speichermedium zu. Oft liefern die Hersteller für diesen Zweck ein eigenes Betriebssystem auf einer Bootdiskette mit - ausgesprochen beliebt ist Caldera DR-DOS.

Welche Tools erhältlich sind und wie sie beim Test abschnitten erfahren Sie in der aktuellen Printausgabe. (ur)