[HaBo]

Chef32

Ich habe mal eine Frage. Ich habe mich noch nicht so mit einem Disk Editor befasst. Meine Frage ist, an was ich mit einem Disk Editor erkenne, ob die Partiton wirklich "sauber" ist, also ob tatsächlich keine Daten mehr vorhanden sind. Kann mir da jemand helfen?

Easyrider

Wenn in jedem Byte 00 oder FF drin steht(oder was anderes ständig wiederholendes)
Es kann natürlich auch völlig zusammengewürfelt sein.

Das ist dann abhängig vom verwendeten Programm(das gelöscht hat).

Wirklich erkennen kann man das dann nicht immer, du kannst aber genau das tun was man tut um Daten aus diesen Platten wiederherzustellen.

PC File Recovery o.ä.

Was du natürlich nicht kannst ist anhand der magnetischen Restspuren die Bits wiederherzustellen.

Chef32

Aha, o.k. gut. Also ich habe mit dem "Eraser" gelöscht, ein Mal mit Nullen überschrieben. Ich selbst nutze eigentlich das Tool nicht, sondern meistens Safe Erase, und da mindestens die von der NAS vorgeschlagene Methode. Nunt hat aber ein britischer Forensiker untersucht, dass bereites das einmalige Überschreiben mit Nullen eine Wiederherstellung unmöglich macht. Ich habe das getestet, mit Safe Erase und mit dem Eraser einmal überschrieben - ich konnte eine paar Dateifetzen (abver auch noch voll funktionierende Daten) mit Easy Recovery oder O&O Disk Recovery wiederherstellen. Auch mit X-Ways-Forensics ist das möglich. Da ich die Partiton aus einem unpartioiniertem Bereich erstellt habe, auf dem noch nie Daten lagen. Ich habe zur Sicherheit die Partiton einmal mit der Gutmann Methode überschrieben, um ganz sicher zu gehen. Danach habe ich Daten auf die Partiton geschrieben und einmal mit Nullen bzw. Pseudodaten überschrieben - ich konnte einige Daten wiederherstellen. Manche sagen, es seien nur Schattenkopien o.ä. - was sagt man hier?

enkore

Schattenkopien durch Windows und die Tatsache, dass die Festplatte auch nicht alles immer in den gleichen Sektor schreibt (Wear Levelling)

__________________

"It is the human race! The deterioration of the spirit of man. Man undermining himself, causing a self-willed, self-imposed, self-evident self-destruction."

+++ BREAKING +++ Troll ertrinkt im Planschbecken +++

Chef32

Ja, aber die Partition ist die gleiche - ich habe selbstverständlich den freien Speicher aich überschrieben. Zu den "Schattenkopien" - wie entstehen diese geanu bzw. wie lösche ich sie?

.doc

Schattenkopien können z.b. temporäre Dateien oder RAM-Inhalt sein, d.h. Dateien und Strukturen, welche vom Betriebssystem angelegt werden. Wie du diese löscht steht meistens in der Anleitung deines Betriebssystems.