Fragen zu einer möglichen Datenrettung

[127.0.0.1]

Bei den Recherchen zum Thema "IT-Grundschutzkatalog" bin ich auch auf das Thema "Datenwiederherstellung" etc. gestoßen. Testweise habe ich mir mal ein Image eines STicks erstellt, allerdings unter Linux und mit "dd". DAs Image ist fertig. Es ist tasächlich so, dass dort einmal Daten daruf waren, die verloren gegangen sind. Ich habe das Image mit x-Ways Forensics eingelesen und tatsächlich, ich habe VIELE Dokumente etc. gefunden! Das Tool ist natürlich auch das Beste, was es in diesem Bereich gibt.

Ich habe nun aber eine Frage: während die Daten auf meine Platte gesichert wurden, habe ich gesehen, dass dort z.B. Bilder in der Vorscahu ganz angezeigt werden, nach ein paar Sekunden ist aebr nur noch die Hälfte da, wahrscheinlich sind nicht alle Bildinformationen verfügbar - ABER warum zeigt es dann in der Vorschau zuerst ein paar Sekunden das ganze Bild an? Entweder der Header etc. ist vorhanden, oder eben nicht. Das verstehe ich nicht so ganz.

 

[gelöschter Benutzer]

Vielleicht war es die JPG-Vorschau ("Thumbnail")? Das ist ein eingebettetes Bild, welches auch JPG-komprimiert vorliegt und meist weniger als 4kB groß ist.

 

[127.0.0.1]

Das ist natürlich möglich. Aber mir ist etwas anders eingefallen. Ich habe mir vor Kurzem eine externe latte gekauft, nicht genutzt. Nur uum zu testen Daten draufkopiert und dann wieder gelöscht - und das ist das Problem! Ich ahbe die Platte nicht mit "dd" oder was anderem sauber gelöscht. Nun habe ich das Image auf der Platte. Jetzt die Frage: wenn ich mit x-Ways das Image öfne und dort suche, dann kann es doch sein, dass mir die alten Daten in die Quere kommen, oder? Oder wäre das nur de Fall, wenn ich kein Image, sondern einfach die Platte 1:1 kopiert hätte, also Platte-zu-Platte direkt isn Root?

 

[cokeZ]

Ich habe mir vor Kurzem eine externe latte gekauft, nicht genutzt.

@Topic:
Ich hab vor kurzem Daten vom Smartphone der Schwiegermutter wiederhergestellt (direkt vom Handy, hatte keine SD Karte drin und hat all ihre Bilder geloescht).
Da war es auch so, dass wie phr4ek sagt, dass Thumbnail da war, aber das eigentliche Bild korrupt (nicht alle, aber manche).

Aber erstaunlich was man alles findet, war das alte Handy vom Schwager und hab noch Bilder wiederhergestellt die er vor Jahren (!) gemacht hat.

 

[gelöschter Benutzer]

Aber erstaunlich was man alles findet, war das alte Handy vom Schwager und hab noch Bilder wiederhergestellt die er vor Jahren (!) gemacht hat.

Ih, Penisbilder!

Gibt übrigens außer x-way forensics noch andere Tools, siehe hier: https://ngb.to/threads/14624-Datenrettung-–-Möglichkeiten

 

[1Bratwurstbitte]

Ich hab da auch schon den einen oder anderen "Journey" mitgemacht, besonders was Handys der Verwandschaft angeht.
Interessanterweise hat da meistens jeder Hersteller seine eigenen Tools und Möglichkeiten, wie man versehentlich gelöschte Inhalte wieder herstellt.
Hier ist es sehr nützlich, wenn man erstmal die Herstellerseiten aka. die Hersteller.Boards durchforstet, um brauchbare Tools zu finden!

 

[Cybercat]

Das ist natürlich möglich. Aber mir ist etwas anders eingefallen. Ich habe mir vor Kurzem eine externe latte gekauft, nicht genutzt. Nur uum zu testen Daten draufkopiert und dann wieder gelöscht - und das ist das Problem! Ich ahbe die Platte nicht mit "dd" oder was anderem sauber gelöscht. Nun habe ich das Image auf der Platte. Jetzt die Frage: wenn ich mit x-Ways das Image öfne und dort suche, dann kann es doch sein, dass mir die alten Daten in die Quere kommen, oder? Oder wäre das nur de Fall, wenn ich kein Image, sondern einfach die Platte 1:1 kopiert hätte, also Platte-zu-Platte direkt isn Root?

Wenn Du ein Image darauf kopiert hast ist es egal was vorher auf der Platte war. Wenn Du das Image öffnest hast auch nur das Image. 100%ig.

 

[127.0.0.1]

@Cybercat

Ist das wirklich so? gib tes evtl. Liteartur dazu? Ich frage, weil wenn es sich um ein 1 TB Image handelt, das sehr lange dauert, sowohl in der Erstellung als auch im Analysieren - deshalb wäre es gut, wen nes dann auch sicher ist, dass NUR das Image gelesen wird.

Wieso gibt es dann bei X-Ways Forensics auch Optionen, die Platte "steril" für die nächste Untersuchung zu amchzen? Wenn man Platte-zu-Platte klont und dann Daten wiederherstellen will?

 

[gelöschter Benutzer]

Ja, das ist wirklich so.

Nehmen wir an, dein Image sieht so aus (bitweise gesehen):

1010101010101010101010101010101

Und die Festplatte sieht bevor du das Image kopierst, so aus:

1101110110110111011011011101101

Jetzt sieht die Festplatte danach ungefähr so aus:

1010101010101010101010101010101

Und wenn die Festplatte größer ist als das Image, z.B. so:

110111011011011101101101110110110110111011011011101101101110110110

Sieht die Datenstruktur darauf nach dem Kopieren so aus:

101010101010101010101010101010110110111011011011101101101110110110

Allerdings kopierst du ja i.d.R. komplette Partitionen, die hören dann auf der "neuen" Festplatte genau an der selben Stelle (bitweise gesehen) auf, an der sie vorher auch aufgehört haben.
Wie das funktioniert? Magie.

 

[127.0.0.1]

Danke! #Ja, das ist mir schon klar. Aber die Frage ist dann, awrum wird z.B. bei X-Ways Forensics eben auch ein embedded Tool angeboten, um die Platte richtig zu putzen? Oder gilt das nur, wenn man ein Image erstellt, dieses auf eine Platte kopiert und dann diese Platte komplett durchsucht? Hmm, aber wenn die Daten einmal überschrieben worden sind, also ich denke, es hat ja seinen Sinn und Zweck, dass Ermittlungsbehörden die Platte richtig putzen müssen.

 

[gelöschter Benutzer]

Ich nehme an, dass das Tool zum "Platte putzen" eher für die Datenvernichtung gedacht ist. Vorbereiten muss man da nichts, höchstens aus Verfahrensgründen der Beweissicherung.

 

[127.0.0.1]

@phre4k

Nein, in X-Ways Forensics steht ausdrücklich

forensisch sicheres Löschen von Festplatten, um sie „steril“ für die nächste Benutzung zu machen

Dies würde genau das bedeuten, was ich meine.