Wie oft müssen Daten überschrieben werden?

Vom einfachen Internetforum bis hin zum Fachmagazin für IT-Sicherheit taucht regelmäßig eine bestimmte Frage auf: Wie oft müssen Daten auf Festplatten überschrieben werden, bis sie nicht mehr wiederherstellbar sind?

Dabei erscheint immer wieder eine alte Legende, nach der Daten bis zu 30 Mal überschrieben werden müssten. Angeblich würden die Magnetköpfe auf Festplatten nicht stets exakt die Spur halten, sodaß mittels eines Magnetkraftmikroskops die Daten theoretisch auch nach einigen Überschreibungen noch wiederherstellbar seien. Man müsste nur die Ränder der Spuren abfahren, die angeblich noch die alten Daten enthielten.

Was hat es damit auf sich?

Wie man auf dem folgenden Bild sehen kann, verkleinerten sich bei Festplatten von Generation zu Generation kontinuierlich die Strukturen.

3 Gigabyte-Platte und 30 Gigabyte-Platte unter einem Magnetkraftmikroskop (Quelle: Wikipedia)

Festplatten in den 1970ern und 80ern hatten mit ihren damals 10-20 Megabyte Speicherkapazität und 5 1/4-Zoll-Größe weitaus grobere Strukturen als heutige Speichermedien. In diesen Zeiten war es möglich, unter bestimmten Umständen und mit sehr hochwertigen Magnetkraftmikroskopen mit einer gewissen Genauigkeit den Ursprungszustand bereits überschriebener Bits auszulesen. Heutzutage ist dies allerdings unmöglich. Das US-Institut für Standards und Technologie (NIST) bezeichnet bereits in einer Studie von 2006 alle Festplatten, die nach 2001 hergestellt wurden und mehr als 15 Gigabyte Speicherplatz haben, als sicher nach einem einmaligen Überschreiben. Laut NIST sind die Begriffe „Datenzerstörung“ und „Datenüberschreibung“ gleichbedeutend geworden.

„Studien haben gezeigt, daß die meisten Speichermedien heutzutage durch ein einziges Überschreiben gelöscht werden können […] und für Festplatten, die nach 2001 (über 15 GB) hergestellt wurden, die Begriffe „Reinigen“ und „Löschen“ konvergieren.“

In dem im Springer-Verlag erschienenen Fachbuch „Overwriting Hard Drive Data: The Great Wiping Controversy“ wird treffend erklärt, der Mythos der angeblich notwendigen mehrfachen Löschdurchläufe

„hat eine Situation erzeugt, in der das Löschen eine dermaßen lange Zeit in Anspruch nimmt, daß viele Organisationen überhaupt keine Datenträgerbereinigung mehr durchführen – was in Datenverlusten und Datenmißbrauch resultiert.“

Die Datenträgerbereinigung darf von Nutzern nicht als Alles-oder-Nichts-Lösung angesehen werden. Selbst wenn man annimmt, moderste (und mehrere Millionen Euro teure) Magnetkraftmikroskope könnten die durch Fehlstellung der Festplattenköpfe entstandenen Spurfehler auf Festplatten auslesen und an bestimmten Stellen Daten wiederherstellen, so würde sich ein einfaches Überschreiben aus mehreren Gründen dennoch lohnen.

Erstens verfügen nur wenige Organisationen über Magnetkraftmikroskope, sodaß der Mißbrauch bereits voraussetzt, der Mißbrauchende habe Zugang zu einem solchen Mikroskop.

Außerdem erfordert ein Abtasten mittels eines solchen Mikroskops die physisch vorhandene Festplatte, d.h., wenn ein Krimineller unbemerkt ein bloßes 1:1-Abbild der Platte kopiert, kann er bereits nach einem einmaligen Löschvorgang nichts wiederherstellen. Denn das Abbild enthält nur das, was die Festplatte selbst auslesen kann, und dazu gehören nicht die in unserer Hypothese vorhandenen Spurfehler.

Hinzu kommt die Unregelmäßigkeit von Fehlern. Die Konsequenz unserer Annahme von Spurfehlern bedeutet auch, daß die Festplatte den Kopf nicht exakt positioniert und somit die Spurfehler nicht gleichförmig über die ganze Platte verteilt sind. Somit würde, selbst wenn man alle Spurfehler und die in Spurrichtung vorhandenen Differenzen des Magnetisierungsgrades auslesen könnte, ein einmaliges Überschreiben der Daten die Wahrscheinlichkeit einer Wiederherstellung und die Menge der korrekt wiederherstellbaren Daten zumindest erheblich verringern.

Des weiteren erfordern wiederhergestellte Daten, die Bitfehler enthalten, eine optische Sichtung der Daten. In Anbetracht der heutigen Datenmengen (moderne Festplatten enthalten über 500.000.000.000 oder – in Worten – fünfhunderttausendmillionen Zeichen) erscheint dies nicht plausibel.

Zusätzlich sind durch Ausnutzung von Speicherfehlern wiederhergestellte Daten von zweifelhaftem Wert, da nicht bewiesen werden kann ob die Daten tatsächlich in dieser Form gespeichert wurden oder vielmehr erst durch Fehler beim Schreiben, Löschen und anschließenden Auslesen der Spurfehler entstanden.

Zusammenfassend lässt sich festhalten, daß ein einmaliges und komplettes Überschreiben von modernen Speichermedien wie Festplatten und USB-Sticks mit Zufallszahlen ausreichend ist. Das Überschreiben mit Nullen hingegen ist auch bei heutigen Speicherdichten nicht empfehlenswert, da kleinste Restmagnetisierungen auf der Platte verbleiben und bei einer Wiederherstellung der Daten mittels Magnetkraftmikroskopen hilfreich sein könnten. Zwar ist kein Fall bekannt in dem eine derartige Wiederherstellung bei modernen Platten erfolgreich verlief. Da das Überschreiben mit Nullen jedoch nur vernachlässigbar schneller als das Überschreiben mit Zufallszahlen ist (nur bei langsamer CPU), sollte dabei die wissenschaftlich erwiesenermaßen sicherere Methode gewählt und die Daten mit Zufallszahlen überschrieben werden.

Advertisements

Ein Kommentar (+deinen hinzufügen?)

  1. ewe
    Jun 22, 2011 @ 08:39:22

    Bei Festplatten sind die Angaben ja korrekt, bei USB-Sticks sieht das etwas anders aus: Hier verteilt meist der Controller die Schreibzugriffe auf unterschiedliche Speicherzellen. Natürlich ist ein einmaliges Überschreiben besser als nichts, aber das Restrisiko Daten zurück zu lassen ist technisch Bedingt größer, vor Allem, wenn nicht der Komplette Stick überschrieben wird.

    Antwort

Kommentar verfassen

Trage deine Daten unten ein oder klicke ein Icon um dich einzuloggen:

WordPress.com-Logo

Du kommentierst mit Deinem WordPress.com-Konto. Abmelden / Ändern )

Twitter-Bild

Du kommentierst mit Deinem Twitter-Konto. Abmelden / Ändern )

Facebook-Foto

Du kommentierst mit Deinem Facebook-Konto. Abmelden / Ändern )

Google+ Foto

Du kommentierst mit Deinem Google+-Konto. Abmelden / Ändern )

Verbinde mit %s

%d Bloggern gefällt das: