Daten löschen: Was dabei wirklich auf dem Speicher passiert

Löschen ist nicht gleich Löschen

Ob Daten tatsächlich sofort verschwinden, zunächst nur als nicht mehr benötigt markiert werden oder durch Verschlüsselung praktisch unzugänglich werden, hängt vom verwendeten Dateisystem, dem Speichermedium und dem Betriebssystem ab. Eine klassische magnetische Festplatte verhält sich anders als eine SSD. Ein modernes Smartphone arbeitet wiederum mit anderen Schutzmechanismen als ein zwanzig Jahre alter PC. Deshalb lässt sich die Frage, ob gelöschte Dateien wiederherstellbar sind, nicht mit einem einfachen Ja oder Nein beantworten.

Eine Datei besteht aus mehr als ihrem Inhalt

Auf einem Datenträger liegen Dateien nicht so geordnet, wie sie im Explorer oder Finder erscheinen. Das Betriebssystem verwendet ein Dateisystem, das Informationen darüber verwaltet, welche Datenblöcke zu welcher Datei gehören.

Dazu kommen Angaben wie Dateiname, Größe, Speicherort, Zeitstempel und verschiedene Verwaltungsinformationen. Der eigentliche Inhalt einer Datei befindet sich an anderen Stellen des Datenträgers.

Damit eine Datei geöffnet werden kann, muss das Betriebssystem wissen, welche Speicherbereiche zu ihr gehören. Genau diese Zuordnung spielt beim Löschen eine entscheidende Rolle.

Löschen bedeutet häufig zunächst nur Freigeben

Bei klassischen Dateisystemen wird beim gewöhnlichen Löschen nicht zwangsläufig sofort jeder einzelne Datenblock überschrieben.

Stattdessen kann das Betriebssystem die Information entfernen oder verändern, mit der die Datei im Dateisystem verwaltet wird. Die zuvor von ihr verwendeten Speicherbereiche gelten anschließend als frei und dürfen für neue Daten verwendet werden.

Solange dort noch nichts Neues gespeichert wurde, können zumindest Teile des ursprünglichen Inhalts physisch weiterhin vorhanden sein. Genau darauf beruhen viele klassische Verfahren zur Datenwiederherstellung.

Der Papierkorb ist überhaupt noch kein echtes Löschen

Besonders deutlich wird das beim Papierkorb eines Computers.

Wer unter Windows oder macOS eine Datei in den Papierkorb verschiebt, beseitigt sie normalerweise noch nicht vom Datenträger. Sie wird lediglich an einen besonderen Ort verschoben beziehungsweise vom Betriebssystem entsprechend verwaltet.

Deshalb lässt sich eine versehentlich gelöschte Datei mit wenigen Mausklicks wiederherstellen. Ihre eigentlichen Daten wurden zu diesem Zeitpunkt gar nicht beseitigt.

Erst das Leeren des Papierkorbs ändert die Situation

Nach dem Leeren des Papierkorbs verschwindet die einfache Wiederherstellungsfunktion des Betriebssystems.

Auf einer klassischen Festplatte kann der Inhalt trotzdem weiterhin vorhanden sein. Das Dateisystem betrachtet die entsprechenden Bereiche lediglich als frei.

Datenrettungsprogramme versuchen in solchen Fällen, gelöschte Dateisystemeinträge zu rekonstruieren oder typische Strukturen bekannter Dateiformate direkt auf dem Datenträger zu finden.

Eine magnetische Festplatte behält Daten physisch

Klassische Festplatten speichern Informationen magnetisch auf rotierenden Scheiben.

Wird eine Datei nur logisch gelöscht, ändern sich die magnetischen Zustände ihrer bisherigen Speicherbereiche zunächst nicht zwangsläufig. Erst wenn das Betriebssystem neue Informationen an dieselben Stellen schreibt, wird der frühere Inhalt überschrieben.

Deshalb waren gelöschte Dateien auf traditionellen Festplatten häufig erstaunlich lange wiederherstellbar, solange der Datenträger danach möglichst wenig verwendet wurde.

Jede weitere Nutzung kann Daten zerstören

Nach einem versehentlichen Löschen ist deshalb Zeit nicht der einzige entscheidende Faktor. Wichtiger ist, was anschließend mit dem Datenträger geschieht.

Das Installieren eines Wiederherstellungsprogramms, das Herunterladen großer Dateien oder selbst gewöhnliche Systemaktivitäten können neue Daten in zuvor freigegebene Bereiche schreiben.

Ausgerechnet der Versuch, Daten auf demselben Laufwerk zu retten, kann dadurch Teile der gesuchten Datei überschreiben.

Überschriebene Bereiche sind eine andere Kategorie

Wurde ein Speicherbereich tatsächlich mit neuen Daten beschrieben, ist die Situation grundlegend anders als nach einem gewöhnlichen Löschvorgang.

Die früheren Informationen stehen dem System dort nicht mehr einfach als versteckte Altversion zur Verfügung. Moderne Datenträger besitzen hohe Aufzeichnungsdichten, und die verbreitete Vorstellung, beliebig oft überschriebene Daten könnten mit etwas Spezialtechnik problemlos wieder sichtbar gemacht werden, stammt zu einem großen Teil aus einer anderen technischen Epoche.

Für den normalen Umgang mit modernen Festplatten ist deshalb entscheidend, ob die betreffenden Bereiche bereits neu beschrieben wurden.

SSDs funktionieren völlig anders

Eine SSD besitzt keine magnetischen Scheiben. Sie speichert Daten in Flash-Speicherzellen.

Das verändert auch den Umgang mit gelöschten Dateien. Flash-Speicher kann nicht auf dieselbe Weise beliebig direkt überschrieben werden wie ein magnetischer Sektor. Speicherzellen müssen in größeren Einheiten gelöscht werden, bevor sie erneut beschrieben werden können.

Damit SSDs trotzdem schnell arbeiten, übernehmen Controller und Betriebssystem einen erheblichen Teil der Speicherverwaltung im Hintergrund.

TRIM verändert die Datenrettung grundlegend

Bei modernen Betriebssystemen kann nach dem Löschen einer Datei ein sogenannter TRIM-Befehl an die SSD übermittelt werden.

Damit erfährt der SSD-Controller, welche Speicherbereiche vom Betriebssystem nicht mehr benötigt werden. Die SSD kann diese Bereiche anschließend intern aufräumen und für zukünftige Schreibvorgänge vorbereiten.

Für die Leistung und Lebensdauer des Laufwerks ist das sinnvoll. Für die Wiederherstellung versehentlich gelöschter Daten ist es dagegen ungünstig.

Gelöscht bedeutet auf einer SSD deshalb etwas anderes

Auf einer klassischen Festplatte kann ein freigegebener Bereich noch längere Zeit unverändert bleiben.

Eine SSD arbeitet dagegen selbstständig im Hintergrund. Nachdem das Betriebssystem Speicherbereiche als nicht mehr benötigt gemeldet hat, kann der Controller deren Inhalt im Rahmen interner Bereinigungsprozesse beseitigen.

Deshalb kann eine gelöschte Datei auf einer modernen SSD schon deutlich früher nicht mehr wiederherstellbar sein, obwohl noch keine sichtbare neue Datei an derselben Stelle gespeichert wurde.

Der SSD-Controller kennt keine normalen Dateinamen

Dabei ist wichtig zu verstehen, dass die SSD selbst nicht weiß, dass gerade „Urlaub.jpg“ gelöscht wurde.

Das Dateisystem arbeitet mit logischen Speicheradressen. Der SSD-Controller übersetzt diese intern auf tatsächliche Flash-Speicherbereiche. Diese Zuordnung kann sich permanent verändern.

Techniken wie Wear Leveling sorgen beispielsweise dafür, dass Schreibvorgänge über die vorhandenen Speicherzellen verteilt werden. Dadurch sollen einzelne Bereiche nicht übermäßig schnell verschleißen.

Wear Leveling erschwert einfache Vorstellungen vom Überschreiben

Bei einer Festplatte lässt sich vereinfacht vorstellen, dass ein bestimmter logischer Sektor einer bestimmten Stelle auf der Magnetscheibe entspricht.

Bei einer SSD ist diese Beziehung wesentlich dynamischer. Der Controller entscheidet intern, in welchen Flash-Zellen Daten tatsächlich gespeichert werden.

Wird dieselbe logische Adresse erneut beschrieben, bedeutet das deshalb nicht zwangsläufig, dass exakt dieselben physischen Speicherzellen sofort überschrieben werden.

Mehrfaches Überschreiben ist bei SSDs keine ideale Löschstrategie

Aus diesem Grund sind alte Empfehlungen, eine Datei oder ein komplettes Laufwerk mehrfach mit Zufallsdaten zu überschreiben, nicht ohne Weiteres auf SSDs übertragbar.

Der Nutzer kontrolliert nicht direkt, welche physischen Flash-Zellen beschrieben werden. Reservebereiche und die interne Speicherverwaltung des Controllers liegen außerhalb der normalen Dateisystemebene.

Für die sichere Außerbetriebnahme einer SSD sind deshalb dafür vorgesehene Löschfunktionen oder moderne Verschlüsselungskonzepte sinnvoller als Methoden aus der Zeit magnetischer Festplatten.

Schnellformatierung löscht meist nicht jeden Datenbereich

Auch beim Formatieren entsteht häufig ein Missverständnis.

Eine Schnellformatierung erstellt beziehungsweise erneuert wesentliche Verwaltungsstrukturen des Dateisystems, ohne zwangsläufig sämtliche Speicherbereiche des Datenträgers mit neuen Informationen zu überschreiben.

Auf traditionellen Festplatten können deshalb nach einer solchen Formatierung noch Datenfragmente vorhanden sein, die sich mit geeigneten Verfahren rekonstruieren lassen.

Formatieren und sicheres Löschen sind nicht dasselbe

Das Wort „Formatieren“ sagt allein wenig darüber aus, wie vollständig vorhandene Daten tatsächlich beseitigt wurden.

Es kommt darauf an, welches Betriebssystem, welches Dateisystem, welche Formatierungsart und welches Speichermedium verwendet wurden.

Wer einen Datenträger lediglich für die eigene Weiterverwendung vorbereitet, hat außerdem andere Anforderungen als jemand, der ihn verkauft oder entsorgt.

Smartphones verwenden zunehmend Verschlüsselung als Schutz

Moderne Smartphones speichern persönliche Daten nicht einfach ungeschützt im internen Flash-Speicher.

Aktuelle Android-Geräte und iPhones verwenden umfangreiche Verschlüsselungsmechanismen. Daten werden mit kryptografischen Schlüsseln geschützt, deren Verwaltung wiederum mit der Gerätesicherheit verbunden ist.

Dadurch verändert sich auch die Bedeutung eines Zurücksetzens auf Werkseinstellungen.

Verschlüsselung kann Löschen erheblich beschleunigen

Bei einem vollständig verschlüsselten Datenspeicher muss nicht zwangsläufig jedes einzelne Byte mehrfach überschrieben werden, um die früheren Inhalte praktisch unzugänglich zu machen.

Wird der für die Entschlüsselung notwendige Schlüssel zuverlässig vernichtet, verbleiben möglicherweise noch verschlüsselte Datenblöcke im Flash-Speicher. Ohne den passenden Schlüssel sind sie jedoch nicht mehr sinnvoll lesbar.

Dieses Prinzip wird häufig als kryptografisches Löschen bezeichnet.

Ein moderner Smartphone-Reset ist deshalb kein einfaches Formatieren

Wenn ein aktuelles Smartphone auf die Werkseinstellungen zurückgesetzt wird, laufen Prozesse ab, die weit über das Entfernen sichtbarer Dateien hinausgehen.

Nutzerkonten, Einstellungen, persönliche Inhalte und kryptografische Informationen werden entfernt oder zurückgesetzt. Anschließend erscheint das Gerät wieder im Einrichtungszustand.

Bei einem ordnungsgemäß durchgeführten Reset eines modernen verschlüsselten Smartphones ist die Situation deshalb völlig anders als bei einer gelöschten Datei auf einer alten unverschlüsselten Festplatte.

Einstellungen zurücksetzen ist etwas anderes als Inhalte löschen

Gerade bei Smartphones existieren allerdings mehrere ähnlich klingende Optionen.

Ein Zurücksetzen von Netzwerk- oder Systemeinstellungen muss persönliche Fotos, Nachrichten und Anwendungen nicht entfernen. Wer ein Gerät verkaufen möchte, benötigt die Funktion, die sämtliche Inhalte und persönlichen Einstellungen löscht.

Die genaue Bezeichnung unterscheidet sich je nach Betriebssystem und Hersteller. Ein kurzer Blick auf die Beschreibung des jeweiligen Menüpunktes verhindert, dass lediglich Einstellungen zurückgesetzt werden, während persönliche Daten erhalten bleiben.

Cloud-Daten liegen nicht unbedingt nur auf dem Smartphone

Ein weiterer Unterschied moderner Geräte besteht in der Synchronisierung.

Ein Foto kann gleichzeitig auf dem Smartphone, einem Tablet, einem Computer und in einem Cloud-Speicher vorhanden sein. Wird es an einer Stelle gelöscht, muss deshalb geklärt werden, wie der jeweilige Dienst mit synchronisierten Löschvorgängen umgeht.

Manche Systeme übertragen das Löschen auf alle verbundenen Geräte. Andere bewahren zusätzliche Sicherungskopien oder Versionen auf.

Auch die Cloud besitzt Papierkörbe

Viele Cloud-Dienste entfernen gelöschte Dateien nicht unmittelbar endgültig.

Stattdessen landen sie zunächst in einem Papierkorb oder Bereich für kürzlich gelöschte Elemente. Dort können sie für eine bestimmte Zeit wiederhergestellt werden.

Das ist für versehentlich gelöschte Dokumente ausgesprochen praktisch. Wer Daten bewusst endgültig entfernen möchte, muss allerdings berücksichtigen, dass der normale Löschvorgang möglicherweise nur die erste Stufe darstellt.

Backups können Daten noch viel länger erhalten

Noch komplizierter wird die Situation durch Sicherungskopien.

Eine Datei kann aus dem laufenden System verschwunden sein und trotzdem in einem Backup weiterexistieren. Das betrifft lokale Datensicherungen ebenso wie automatisierte Cloud-Backups.

Ein später wiederhergestellter Sicherungsstand kann dadurch Daten zurückbringen, die im aktiven System längst gelöscht wurden.

Löschen und aus allen Sicherungen entfernen sind unterschiedliche Aufgaben

Für den gewöhnlichen Privatanwender ist das meist erwünscht. Ein Backup soll gerade davor schützen, dass ein versehentliches Löschen unmittelbar endgültig ist.

Bei besonders sensiblen Daten entsteht daraus jedoch eine zusätzliche Frage. Soll eine Information wirklich vollständig aus allen vorhandenen Beständen verschwinden, müssen auch Sicherungssysteme und deren Aufbewahrungszeiträume berücksichtigt werden.

Das kann wesentlich komplexer sein als das Löschen der ursprünglichen Datei.

Messenger speichern Daten an mehreren Stellen

Ähnliches gilt für Nachrichten.

Eine Nachricht kann auf dem eigenen Smartphone, auf dem Gerät des Empfängers, auf mehreren verknüpften Geräten und möglicherweise zeitweise auf Servern des Dienstes vorhanden sein.

Eine lokale Unterhaltung zu löschen bedeutet deshalb nicht automatisch, dass sämtliche anderen Kopien ebenfalls verschwinden.

Screenshots lassen sich überhaupt nicht zurückholen

Digitale Dienste können zwar Funktionen anbieten, mit denen Nachrichten nachträglich für mehrere Teilnehmer gelöscht werden.

Sobald ein Empfänger jedoch einen Screenshot erstellt, einen Text kopiert, eine Datei gespeichert oder den Inhalt anderweitig exportiert hat, entsteht eine unabhängige Kopie.

Kein nachträglicher Löschbefehl des ursprünglichen Dienstes kann garantieren, dass solche Kopien ebenfalls verschwinden.

Fotos besitzen oft zusätzliche Kopien

Gerade bei Smartphones existieren von Bildern häufig mehr Versionen, als Nutzer vermuten.

Neben dem Original können Vorschaubilder, bearbeitete Fassungen, Cloud-Versionen, Messenger-Kopien oder exportierte Dateien vorhanden sein.

Wurde ein Bild beispielsweise über einen Messenger verschickt und anschließend aus der Galerie gelöscht, kann die versendete Kopie weiterhin existieren.

Anwendungen erzeugen temporäre Daten

Software arbeitet zusätzlich mit Cache-Dateien, Datenbanken und temporären Informationen.

Ein Browser speichert beispielsweise Inhalte, um Webseiten schneller laden zu können. Bildprogramme erzeugen Vorschaudaten. Messenger verwalten lokale Datenbanken und Anwendungen speichern Arbeitsstände.

Das Löschen einer sichtbaren Originaldatei bedeutet deshalb nicht zwangsläufig, dass niemals Fragmente oder abgeleitete Informationen an anderer Stelle vorhanden waren.

Dateisysteme führen zusätzliche Verwaltungsinformationen

Auch Dateisysteme selbst erzeugen Metadaten.

Dazu gehören beispielsweise Dateinamen, Zeitpunkte, Zugriffsrechte und Informationen über Speicherzuordnungen. Je nach Dateisystem können Änderungen zusätzlich in Journalen oder anderen Verwaltungsstrukturen auftauchen.

Solche Informationen sind nicht mit dem vollständigen Inhalt einer Datei gleichzusetzen, können aber Hinweise darauf liefern, dass eine Datei vorhanden war.

Löschen entfernt nicht automatisch jede Spur einer Aktivität

Dieser Unterschied ist besonders wichtig.

Der eigentliche Inhalt eines Dokuments kann nicht mehr verfügbar sein, während an anderer Stelle noch Hinweise auf dessen Existenz verbleiben. Umgekehrt kann ein Datenfragment erhalten sein, obwohl Dateiname und ursprünglicher Ordner längst verschwunden sind.

„Datei nicht mehr sichtbar“ und „keine Information darüber existiert mehr“ sind technisch zwei völlig unterschiedliche Zustände.

Browserdaten zeigen dieses Problem besonders deutlich

Wer im Browser den Verlauf löscht, entfernt damit die vom Browser verwaltete lokale Verlaufsliste.

Das bedeutet jedoch nicht automatisch, dass keinerlei Informationen über vorherige Internetaktivitäten an anderen Stellen existieren. Synchronisierte Browserkonten, Downloads, Cookies, DNS-Daten, Router, Serverprotokolle oder Onlinedienste haben jeweils eigene Datenbestände und Aufbewahrungsmechanismen.

Ein einzelner Löschknopf kann immer nur die Daten verwalten, für die die jeweilige Anwendung zuständig ist.

Auch ein Benutzerkonto ist nicht dasselbe wie lokale Daten

Wird eine App vom Smartphone entfernt, kann das zugehörige Onlinekonto weiterhin bestehen.

Die Anwendung verschwindet vom Gerät, während Daten beim Anbieter erhalten bleiben. Soll auch das Konto gelöscht werden, ist häufig ein zusätzlicher Vorgang innerhalb der App oder auf der Website des Dienstes notwendig.

Diese Trennung wird bei vielen Anwendungen leicht übersehen.

Wer ein Gerät verkauft, sollte anders vorgehen als bei einer einzelnen Datei

Beim Verkauf eines Computers oder Smartphones reicht es nicht aus, persönliche Dokumente einzeln zu markieren und zu löschen.

Ein Gerät enthält gewöhnlich Tausende persönliche Informationen: Browserdaten, gespeicherte Konten, E-Mails, Bilder, Nachrichten, Dokumente, Zugangsinformationen und Anwendungseinstellungen.

Deshalb sollte ein Gerät mit den vom Hersteller beziehungsweise Betriebssystem vorgesehenen Verfahren vollständig zurückgesetzt oder sicher gelöscht werden.

Moderne Verschlüsselung ist dabei ein großer Vorteil

Ein bereits während der gesamten Nutzung verschlüsselter Datenträger besitzt für die spätere Weitergabe einen wichtigen Vorteil.

Selbst physisch verbliebene Speicherinhalte sind ohne die zugehörigen kryptografischen Schlüssel nicht einfach lesbar. Ein korrekt durchgeführtes Zurücksetzen kann diese Schlüssel aus dem Zugriff entfernen.

Damit wird das Sicherheitskonzept erheblich robuster als bei einem alten unverschlüsselten Datenträger, auf dem persönliche Daten jahrelang im Klartext gespeichert wurden.

Bei alten Festplatten lohnt mehr Vorsicht

Wer eine ältere magnetische Festplatte weitergibt, auf der sensible Daten unverschlüsselt gespeichert waren, sollte sich nicht auf das Löschen einzelner Ordner verlassen.

Hier kann eine vollständige Überschreibung des Datenträgers sinnvoll sein. Bei modernen Betriebssystemen und Laufwerken existieren dafür unterschiedliche Möglichkeiten.

Welche Methode angemessen ist, hängt davon ab, wie sensibel die Daten waren und ob der Datenträger weiterverwendet oder endgültig entsorgt werden soll.

Physische Zerstörung ist kein Ersatz für einen normalen Löschvorgang

Bei Datenträgern mit außergewöhnlich sensiblen Informationen kann am Ende ihres Lebenszyklus eine physische Vernichtung vorgesehen sein.

Für den gewöhnlichen privaten Computer ist das normalerweise nicht notwendig. Ein korrekt eingesetztes Verschlüsselungs- und Löschverfahren reicht für typische persönliche Daten aus.

Außerdem bedeutet ein beschädigtes Gehäuse noch lange nicht, dass die eigentlichen Speicherchips oder Magnetscheiben unbrauchbar geworden sind.

Ein zerbrochener USB-Stick kann noch Daten enthalten

USB-Sticks zeigen dieses Problem besonders anschaulich.

Das Kunststoffgehäuse hat für die Datenspeicherung kaum Bedeutung. Solange die Flash-Speicherchips ausreichend intakt sind, kann ein physisch beschädigter Stick unter Umständen weiterhin ausgelesen oder technisch untersucht werden.

Wer einen Datenträger bewusst zerstören möchte, müsste deshalb tatsächlich das speichernde Medium unbrauchbar machen und nicht nur den Anschluss oder das Gehäuse beschädigen.

Speicherkarten verhalten sich ähnlich wie Flash-Speicher

SD- und microSD-Karten verwenden ebenfalls Flash-Technik.

Auch dort beeinflussen Controller, Dateisystem und interne Speicherverwaltung die Wiederherstellbarkeit gelöschter Daten. Eine einfache Formatierung der Kamera oder des Smartphones bedeutet nicht automatisch, dass sämtliche früheren Inhalte physisch überschrieben wurden.

Gerade bei Speicherkarten können versehentlich gelöschte Fotos deshalb unter bestimmten Umständen noch wiederherstellbar sein.

Nach versehentlichem Löschen sollte das Medium nicht weiter benutzt werden

Wer wichtige Daten versehentlich entfernt, sollte grundsätzlich möglichst wenig auf den betroffenen Speicher schreiben.

Bei einer Speicherkarte bedeutet das beispielsweise, keine weiteren Fotos aufzunehmen. Bei einer externen Festplatte sollten keine neuen Dateien gespeichert werden.

Bei SSDs ist die Situation wegen TRIM komplizierter, dennoch gilt auch hier: Je weniger Veränderungen stattfinden, desto besser sind grundsätzlich die Ausgangsbedingungen für eine mögliche Wiederherstellung.

Datenrettungssoftware ist nicht immer harmlos

Ein verbreiteter Fehler besteht darin, sofort irgendein kostenloses Wiederherstellungsprogramm herunterzuladen und auf demselben Laufwerk zu installieren.

Damit werden neue Daten geschrieben. Im ungünstigsten Fall landen Teile des Programms genau in Bereichen, in denen sich Fragmente der gelöschten Datei befanden.

Bei wirklich wichtigen Daten sollte deshalb zunächst überlegt werden, wie wertvoll die Information ist und ob eigene Rettungsversuche das Risiko wert sind.

Ein defekter Datenträger ist etwas anderes als eine gelöschte Datei

Datenverlust kann außerdem völlig unterschiedliche Ursachen haben.

Eine versehentlich gelöschte Datei auf einem funktionierenden Datenträger ist ein logisches Problem. Eine Festplatte mit mechanischem Schaden, eine defekte SSD oder ein Smartphone mit beschädigter Elektronik stellt eine andere Ausgangslage dar.

Methoden, die für einen Fall sinnvoll sind, können beim anderen Fall wirkungslos oder sogar schädlich sein.

Verschlüsselung kann Datenrettung zusätzlich erschweren

Moderne Verschlüsselung schützt Daten nicht nur vor Dieben.

Ist der benötigte Schlüssel verloren oder beschädigt, kann derselbe Schutz auch den rechtmäßigen Eigentümer daran hindern, seine Daten wiederherzustellen.

Deshalb wird mit zunehmender Verschlüsselung ein funktionierendes Backup noch wichtiger. Datenrettung kann keinen kryptografischen Schlüssel ersetzen, der nicht mehr existiert.

Backups sind zuverlässiger als jede spätere Rettung

Die beste Datenrettung beginnt deshalb lange vor einem Datenverlust.

Wichtige Dateien sollten so gesichert werden, dass der Ausfall eines einzelnen Geräts nicht zum vollständigen Verlust führt. Besonders wertvolle Daten sollten nicht ausschließlich auf einem Smartphone, Notebook oder einer einzelnen externen Festplatte existieren.

Eine Sicherung schützt zudem nicht nur vor versehentlichem Löschen, sondern auch vor Defekten, Diebstahl und anderen Schäden.

Synchronisierung ist noch kein vollständiges Backup

Cloud-Synchronisierung wird dabei häufig mit einer Datensicherung verwechselt.

Wird eine Datei automatisch zwischen mehreren Geräten synchronisiert und anschließend versehentlich gelöscht, kann dieser Löschvorgang ebenfalls synchronisiert werden. Ohne Versionierung oder Papierkorbfunktion verschwindet die Datei dann an allen Stellen.

Ein echtes Backup sollte deshalb einen älteren Datenstand unabhängig vom aktuellen Zustand wiederherstellen können.

Die Frage nach dem Löschen hat zwei völlig verschiedene Seiten

Aus Sicht eines Nutzers kann es erwünscht sein, eine versehentlich gelöschte Datei wiederzubekommen.

Beim Verkauf eines Gerätes besteht dagegen genau das entgegengesetzte Ziel: Niemand soll die früheren Daten rekonstruieren können.

Dieselbe technische Eigenschaft kann deshalb einmal hilfreich und einmal problematisch sein. Eine Festplatte, die gelöschte Daten lange unverändert enthält, verbessert möglicherweise die Chance einer Datenrettung, ist aber ungünstig, wenn das Laufwerk unzureichend gelöscht weitergegeben wird.

Moderne Speichertechnik macht einfache Regeln unmöglich

Die alte Empfehlung „Gelöschte Daten sind erst weg, wenn sie überschrieben wurden“ beschreibt nur einen Teil der heutigen Realität.

Bei magnetischen Festplatten ist dieses Modell weiterhin hilfreich. SSDs verwenden jedoch TRIM, Garbage Collection und eine eigene Speicherverwaltung. Smartphones kombinieren Flash-Speicher mit umfangreicher Verschlüsselung. Cloud-Dienste besitzen Papierkörbe, Versionierungen und Backups.

Deshalb muss immer betrachtet werden, auf welchem System eine Information gespeichert war.

Das sichtbare Verschwinden einer Datei sagt wenig aus

Für den Nutzer endet eine Datei in dem Moment, in dem sie nicht mehr im Ordner erscheint.

Für ein Speichersystem kann zu diesem Zeitpunkt jedoch erst ein mehrstufiger Prozess begonnen haben. Ein Dateisystem gibt Speicherbereiche frei, eine SSD erhält möglicherweise einen TRIM-Hinweis, ein Cloud-Dienst verschiebt den Inhalt in einen Papierkorb und ein Backup bewahrt zusätzlich eine ältere Version auf.

Das erklärt, weshalb digitale Daten gleichzeitig überraschend leicht verloren gehen und erstaunlich hartnäckig erhalten bleiben können.

Sicheres Löschen beginnt heute mit Verschlüsselung

Wer von Anfang an ein modernes verschlüsseltes System verwendet, besitzt beim späteren Löschen einen entscheidenden Vorteil.

Die gespeicherten Rohdaten sind bereits während der normalen Nutzung kryptografisch geschützt. Soll das Gerät weitergegeben werden, müssen nicht erst Jahre unverschlüsselter Informationen mühsam beseitigt werden.

Ein ordnungsgemäßer Werksreset beziehungsweise die dafür vorgesehene sichere Löschfunktion kann anschließend dafür sorgen, dass die bisherigen Daten nicht mehr zugänglich sind.

„Gelöscht“ ist kein einheitlicher technischer Zustand

Am Ende beschreibt das Wort Löschen lediglich das gewünschte Ergebnis aus Sicht des Nutzers. Technisch können sich dahinter sehr unterschiedliche Vorgänge verbergen.

Eine Datei im Papierkorb ist problemlos wiederherstellbar. Eine gelöschte Datei auf einer magnetischen Festplatte kann noch physisch vorhanden sein. Eine SSD kann freigegebene Speicherbereiche selbstständig bereinigen. Ein modernes Smartphone schützt seine Daten zusätzlich durch Verschlüsselung. In der Cloud können längst gelöschte Dateien noch in Papierkörben oder Sicherungssystemen existieren.

Wer Daten retten oder sicher vernichten möchte, sollte deshalb nicht zuerst fragen, ob eine Datei gelöscht wurde. Entscheidend ist, wo sie gespeichert war, welche Technik verwendet wurde und was seit dem Löschvorgang mit diesem Speicher passiert ist.